CVE-2026-26107

IMMEDIATE ACTIONS:

1. Inventory all Microsoft Office installations across the organization, prioritizing Excel 2016, 2019, 2021, 2024, and Microsoft 365 Apps (both x86 and x64)

2. Restrict Excel file opening from untrusted sources and disable macros by default

3. Implement application whitelisting for Excel processes



PATCHING GUIDANCE:

1. Apply Microsoft security updates immediately upon release for affected versions

2. For Microsoft 365 Apps: Enable automatic updates and verify patch deployment

3. For Office 2019/2021 LTSC: Download and deploy patches from Microsoft Update Catalog

4. For Office 2016: Verify extended support status and apply patches accordingly



COMPENSATING CONTROLS (if patching delayed):

1. Disable Excel file preview in email clients and file explorers

2. Implement network segmentation to limit lateral movement from compromised workstations

3. Deploy behavioral analysis tools to detect suspicious Excel process activity

4. Block Excel from accessing network shares and external resources via AppLocker/WDAC



DETECTION RULES:

1. Monitor for Excel.exe spawning child processes (cmd.exe, powershell.exe, rundll32.exe)

2. Alert on Excel accessing suspicious registry keys or system files

3. Track Excel process memory access patterns and heap manipulation

4. Monitor for Excel files with suspicious embedded objects or external data connections

الإجراءات الفورية:

1. حصر جميع تثبيتات Microsoft Office في المنظمة، مع إعطاء الأولوية لـ Excel 2016 و2019 و2021 و2024 وتطبيقات Microsoft 365 (x86 و x64)

2. تقييد فتح ملفات Excel من مصادر غير موثوقة وتعطيل وحدات الماكروز بشكل افتراضي

3. تطبيق قائمة التطبيقات المسموحة لعمليات Excel



إرشادات التصحيح:

1. تطبيق تحديثات أمان Microsoft فوراً عند إصدارها للإصدارات المتأثرة

2. لتطبيقات Microsoft 365: تفعيل التحديثات التلقائية والتحقق من نشر التصحيحات

3. لـ Office 2019/2021 LTSC: تحميل وتطبيق التصحيحات من Microsoft Update Catalog

4. لـ Office 2016: التحقق من حالة الدعم الممتد وتطبيق التصحيحات وفقاً لذلك



الضوابط البديلة (إذا تأخر التصحيح):

1. تعطيل معاينة ملفات Excel في عملاء البريد الإلكتروني ومستكشفات الملفات

2. تطبيق تقسيم الشبكة لتحديد الحركة الجانبية من محطات العمل المخترقة

3. نشر أدوات تحليل السلوك للكشف عن نشاط عملية Excel المريب

4. منع Excel من الوصول إلى مشاركات الشبكة والموارد الخارجية عبر AppLocker/WDAC



قواعد الكشف:

1. مراقبة Excel.exe لإنشاء عمليات فرعية (cmd.exe و powershell.exe و rundll32.exe)

2. التنبيه عند وصول Excel إلى مفاتيح التسجيل أو ملفات النظام المريبة

3. تتبع أنماط وصول ذاكرة عملية Excel ومعالجة الكومة

4. مراقبة ملفات Excel التي تحتوي على كائنات مضمنة مريبة أو اتصالات بيانات خارجية