Am 9. Juni 2026 (zweiter Dienstag im Monat, Microsoft Patchday) hat Microsoft mehrere sicherheitsrelevante Updates für Microsoft Office veröffentlicht. Allerdings scheint die Pflege der Update-Listen laut dieser Webseite etwas vernachlässigt worden zu sein, da noch keine Einträge für Juni 2026 veröffentlicht wurden. Hier eine Kurzübersicht, was ich gefunden habe.
Microsoft Office 2016 und Microsoft Office 2019 sind aus dem Support gefallen. Microsoft hat im Juni 2026 keine Sicherheitsupdates veröffentlicht. Zukünftig hilft die 0patch-Lösung weiter (siehe 0patch sichert Microsoft Office 2016 und 2019 nach Oktober 2025).
Office 2016
Wie bereits oben erwähnt, hat Microsoft seine Supportseiten bis zum Erstellen des Beitrags hier (10.6.2026 16:51 Uhr) nicht aktualisiert. Tenable schreibt hier:
The Microsoft Office Products are affected by multiple vulnerabilities. The Microsoft Office Products are missing a security update. They are, therefore, affected by multiple vulnerabilities:
- Heap-based buffer overflow in Microsoft Office allows an unauthorized attacker to execute code locally. (CVE-2026-44819, CVE-2026-44824, CVE-2026-45461, CVE-2026-45463, CVE-2026-45472, CVE-2026-45474, CVE-2026-45475, CVE-2026-45645)
- Out-of-bounds read in Microsoft Office allows an unauthorized attacker to disclose information locally. (CVE-2026-44821, CVE-2026-45485)
Aus obiger Quelle und beim Kollegen von IT-Blogger.net habe ich die folgende Liste an Updates zusammen getragen.
- KB5002877: Sicherheitsupdate für Excel 2016, behebt eine Sicherheitslücke in Microsoft Excel, die die Ausführung von Remote-Code ermöglicht, sowie eine Sicherheitslücke in Microsoft Excel, die zur Offenlegung von Informationen führen kann.
- KB5002878: Sicherheitsupdate für Office 2016, dass mehrere Sicherheitslücken in zentralen Office-Anwendungen, die die Ausführung von Remote-Code und die Offenlegung von Informationen ermöglichen, behebt.
- KB5002879: Sicherheitsupdate für Office 2016, behebt eine Sicherheitslücke in Microsoft Outlook und Word, die die Ausführung von Remote-Code ermöglicht, sowie eine weitere Sicherheitslücke in Microsoft Word, die ebenfalls die Ausführung von Remote-Code ermöglicht. Hier die Schwachstellen: CVE-2026-45458, CVE-2026-45471 und CVE-2026-45456.
- KB5002852: Behebt eine Sicherheitslücke CVE-2026-45645 in Microsoft Office 2016, die die Ausführung von Remote-Code ermöglicht.
Es gibt noch das Update KB5002578 für Office 2016, dass die Schwachstelle CVE-2023-45473 schließt. In diesem Kommentar schreibt J.H. dass beim Sicherheitsupdate Microsoft Word KB5002879 die OLE-Schnittstelle nach der Installation nicht mehr funktioniert. Es wird ein Typkonflikt-Fehler gemeldet. Nach Deinstallation funktioniert diese OLE-Schnittstelle wieder wie gewohnt, jedoch bleibe "dies im Update-Verlauf bestehen".
Ähnliche Artikel:
Microsoft Security Update Summary (9. Juni 2026)
Patchday: Windows 10/11 Updates (9. Juni 2026)
Patchday: Windows Server-Updates (9. Juni 2026)
Patchday: Microsoft Office Updates (9. Juni 2026)
Exchange Server: Sicherheitsupdates Juni 2026
Windows 11 24H2-25H2: Juni 2026 Update KB5094126 verursacht Word OLE-Probleme
Nachlese: Juni 2026-Patchday verursacht Windows-Probleme
MVP: 2013 – 2016
Von ZDI kopiert
CVE-2026-45460 Microsoft Office Information Disclosure Vulnerability Critical 4.7 No No 3 Info
CVE-2026-45472 Microsoft Office Remote Code Execution Vulnerability Critical 8.4 No No 2 RCE
CVE-2026-45474 Microsoft Office Remote Code Execution Vulnerability Critical 8.4 No No 2 RCE
CVE-2026-45461 Microsoft Office Remote Code Execution Vulnerability Critical 8.4 No No 2 RCE
CVE-2026-45463 Microsoft Office Remote Code Execution Vulnerability Critical 8.4 No No 2 RCE
CVE-2026-45456 Microsoft Outlook and Word Remote Code Execution Vulnerability Critical 8.4 No No 2 RCE
CVE-2026-45458 Microsoft Outlook and Word Remote Code Execution Vulnerability Critical 8.4 No No 2 RCE
CVE-2026-47635 Microsoft Outlook and Word Remote Code Execution Vulnerability Critical 8.4 No No 2 RCE
CVE-2026-44822 Microsoft Excel Information Disclosure Vulnerability Important 8.2 No No 3 Info
CVE-2026-45455 Microsoft Excel Information Disclosure Vulnerability Important 3.3 No No 2 Info
CVE-2026-45469 Microsoft Excel Remote Code Execution Vulnerability Important 7.8 No No 2 RCE
CVE-2026-44817 Microsoft Excel Remote Code Execution Vulnerability Important 7.8 No No 3 RCE
CVE-2026-44818 Microsoft Excel Remote Code Execution Vulnerability Important 7 No No 2 RCE
CVE-2026-44820 Microsoft Excel Remote Code Execution Vulnerability Important 7.8 No No 2 RCE
CVE-2026-44823 Microsoft Excel Remote Code Execution Vulnerability Important 7.8 No No 2 RCE
CVE-2026-45459 Microsoft Excel Security Feature Bypass Vulnerability Important 3.3 No No 2 SFB
CVE-2026-47293 Microsoft Office Click-To-Run Elevation of Privilege Vulnerability Important 7 No No 2 EoP
CVE-2026-45485 Microsoft Office Information Disclosure Vulnerability Important 3.3 No No 2 Info
CVE-2026-44821 Microsoft Office Information Disclosure Vulnerability Important 5.5 No No 2 Info
CVE-2026-45475 Microsoft Office Remote Code Execution Vulnerability Important 7.8 No No 2 RCE
CVE-2026-44819 Microsoft Office Remote Code Execution Vulnerability Important 7.8 No No 2 RCE
CVE-2026-44824 Microsoft Office Remote Code Execution Vulnerability Important 7.8 No No 2 RCE
CVE-2026-45645 Microsoft Office Remote Code Execution Vulnerability Important 7.8 No No 2 RCE
CVE-2026-45466 Microsoft Word Information Disclosure Vulnerability Important 3.3 No No 3 Info
CVE-2026-45471 Microsoft Word Remote Code Execution Vulnerability Important 7.8 No No 2 RCE
CVE-2026-45486 Microsoft Word Remote Code Execution Vulnerability Important 7.8 No No 2 RCE
CVE-2026-45643 Microsoft Word Remote Code Execution Vulnerability Important 7.8 No No 2 RCE
CVE-2026-45457 Microsoft Word Remote Code Execution Vulnerability Important 7.8 No
Quelle:
https://www.zerodayinitiative.com/blog/2026/6/9/the-june-2026-security-update-review
IMHO die früheste Stelle wo man sich einen umfassenden Überblick verschaffen kann, war gestern früh bereits wie gewöhnlich online, inklusive Einschätzungen zu einigen CVEs.
Demnach kann man momentan eine schöne Mailbombe per Email in Unternehmen rein werfen und ist, sofern die Updates noch nicht eingespielt wurden, ohne irghendwas händisch zu machen ruckzuck Domainadmin. Man muss dann nur noch einen Weg finden, wie man einen Rückkanal aufbaut, aber da viele Firmen immer noch keinen Proxy mit Authentifizierung nutzen und ihre Leute direkt ins Internet raus lassen ist das nicht schwer. Man muss nur genug Mailadressen in der Zielfirma kennen, einer davon wird das angehängte Word/Excel-Dokument in Outlook schon öffnen, und dabei eine oder mehrere der zahlreichen Remote-Code-Execution (RCE) Lücken in Office nutzen, der dann gestartete Schadcode kommuniziert mit dem internen Netz, findet weitere Windows Maschinen, CVE-2026-45657 Remote-Code-Execution ohne Authentifizierung durch den TCP/IP-Stack, Schadcode auf den Zielsystemen mit SYSTEM Rechten, diese befeuern alle weiteren Windows-Maschinen per CVE-2026-45657 wie ein Wurm bis sie alle haben, mit auch auf Domaincontroller, zusätzlich noch CVE-2026-45648 (8.8) auf die Domain-Controller gefeuert, und man hat überall höchste Rechte. Ein geöffneter Mailanhang reicht. Die anderen Schwachstellen braucht man garnicht zu nutzen.
Eigentlich müssten wir alle im Panikmodus sein. Naja, immerhin, bei uns sind bereits 90% der Office 365 gepatcht, die anderen sind gerade überwiegend offline, damit ist schonmal der Vordereingang "zu".
Danke für die Auflistung!
Immer "super" das Microsoft ihre eigene Office build seite so schlecht pflegt und man so nie auf der schnelle sieht, was die aktuelle build ist.
An dieser Stelle mal ein großes Dankeschön an den Betreiber dieser Seite. Sie schließen damit regelmäßig eine riesige Informationslücke, welches man eigentlich von dem Hersteller der Software erwarten würde (in normalen Zeiten).
Office 2016 wird offiziell nicht mehr unterstützt, aber für diesen Monat gibt es noch Sicherheitsupdates. Wir haben einen besonderen Kunden, der aufgrund einer speziellen Legacy-Software noch die Version 2016 verwendet.