HEIF Image Extension: Use-after-free, Remote Code Execution
Zusammenfassung
Eine Use-after-free-Schwachstelle (CWE-416) in der HEIF Image Extension für Windows von Microsoft erlaubt es einem Angreifer, Code auszuführen. Der offizielle Titel beschreibt Remote Code Execution, der CVSS-Vektor ist jedoch lokal (AV:L, PR:N, UI:R). In der Praxis benötigt ein Angreifer lokalen Zugriff oder muss einen Benutzer dazu bringen, eine präparierte HEIC/HEIF-Datei zu öffnen, was eine Benutzerinteraktion, aber keine Berechtigungen erfordert. Der CVSS-Basiswert beträgt 7.0 (Hoch).
Betroffen
- Microsoft HEIF Image Extension Versionen 1.0.0.0 bis vor 1.2.62.0
- Aufgeführte Plattformen: Windows 10 Version 1809, 21H2, 22H2; Windows 11 Version 23H2, 24H2, 25H2, 26H1, 26H2
Behoben in
- Auf HEIF Image Extension 1.2.62.0 oder neuer aktualisieren
- Ob Windows-10-Builds die Korrektur über eine KB oder einen Update-Kanal erhalten: Unbekannt. Auf der MSRC-Seite prüfen.
Umgehung
- Keine vom Hersteller dokumentierte Workaround-Massnahme.
- Übergangsmassnahme bis zur Korrektur: HEIC/HEIF-Dateien aus unbekannten E-Mail- oder Download-Quellen nicht öffnen.
Ausnutzung
- Öffentlich bekannt gemacht: Nein
- In freier Wildbahn ausgenutzt: Nein (laut Microsoft zum Zeitpunkt der Veröffentlichung)
- Reifegrad des Exploit-Codes: Unproven
- Nicht in CISA KEV aufgeführt (laut Strix)
- Kein öffentlicher Proof of Concept gefunden
Unsere Empfehlung
- HEIF Image Extension 1.2.62.0 oder neuer auf allen Endgeräten bereitstellen, Benutzer-Arbeitsplätze zuerst.
- Die installierte Version auf Windows-10-Geräten direkt anhand der MSRC-Seite prüfen.
- Bis zur Korrektur die Verarbeitung nicht vertrauenswürdiger HEIC/HEIF-Dateien einschränken.
- Den Outlook-Zero-Day aus demselben Patch-Tuesday-Zyklus zuerst patchen und priorisieren.
- MSRC-Seite und CISA KEV erneut prüfen, da sich der Status ändern kann.
Angaben von Microsoft (Patch Tuesday November 2026)
Öffentliche Exploits
Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.
- Proof of Concept auf GitHub (1 Repositories)
OntologicallyGood/property-damage
Quellen der Recherche
- Microsoft Security Update Guide msrc.microsoft.com
- CVE Record CVE-2026-100204 www.cve.org
- Windows Forum: CVE-2026-100204 HEIF Image Extensions windowsforum.com
- GBHackers: Microsoft November 2026 Patch Tuesday gbhackers.com
- Strix: CVE-2026-100204 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 09:51.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.