Microsoft Windows: Remote Code Execution in Text Shaping

Zusammenfassung

Windows Text Shaping, die Betriebssystemkomponente, die Zeichen für die Darstellung in Glyphen umwandelt, enthält einen heap-basierten Pufferüberlauf. Ein entfernter, nicht authentifizierter Angreifer ohne Benutzerinteraktion kann unter Umständen Code ausführen, laut CVSS 9.8 (kritisch). Die Quellen nennen den netzwerkseitig erreichbaren Dienst oder das Dateiformat nicht, mit dem die Schwachstelle erreicht wird. Die Exponierung lässt sich deshalb nicht allein aus dem Vektor ableiten.

Betroffen

• Windows 10 Version 1809 (Builds vor 10.0.17763.9376)
• Windows 10 Version 21H2 (Builds vor 10.0.19044.7807)
• Windows 10 Version 22H2 (Builds vor 10.0.19045.7807)
• Windows 11 Version 23H2 (Builds vor 10.0.22631.7652)
• Windows 11 Version 24H2 (Builds vor 10.0.26100.9711)
• Windows 11 Version 25H2 (Builds vor 10.0.26200.9711)
• Windows 11 Version 26H1 (Builds vor 10.0.28000.3231)
• Windows 11 Version 26H2 (Builds vor 10.0.26300.9711)
• Windows Server 2019, inklusive Server Core (Builds vor 10.0.17763.9376)
• Windows Server 2022 (Builds vor 10.0.20348.5761)
• Windows Server 2025, inklusive Server Core (Builds vor 10.0.26100.33650)

Behoben in

• Das Microsoft-Sicherheitsupdate vom 13. Oktober 2026 für das betroffene Build installieren.
• Korrigierte Builds laut CNA-Eintrag: 10.0.17763.9376 (1809, Server 2019), 10.0.19044.7807 (21H2), 10.0.19045.7807 (22H2), 10.0.22631.7652 (23H2), 10.0.26100.9711 (24H2), 10.0.26200.9711 (25H2), 10.0.28000.3231 (26H1), 10.0.26300.9711 (26H2), 10.0.20348.5761 (Server 2022), 10.0.26100.33650 (Server 2025).
• Exakte Build- und KB-Zuordnung im MSRC Security Update Guide prüfen, da die Quellen bei einzelnen Details voneinander abweichen.

Umgehung

Unbekannt. In den Quellen wurde keine Herstellerumgehung oder Zwischenmassnahme gefunden. Das Einspielen des Patches ist die einzige dokumentierte Korrektur.

Ausnutzung

• Aktive Ausnutzung in freier Wildbahn: Unbekannt. CISA SSVC führt die Ausnutzung als keine, die Berichte Dritter sind jedoch widersprüchlich und nennen diese CVE nicht eindeutig.
• Öffentlicher Proof of Concept: Keiner gefunden.
• EPSS: 0.00893 (niedrige Wahrscheinlichkeit einer Ausnutzung).

Unsere Empfehlung

• Betroffene Windows-10- und Windows-Server-Systeme mit dem Oktober-2026-Update mit hoher Priorität patchen.
• Mit aus dem Internet erreichbaren Hosts sowie älteren Windows-10-1809- und Server-2019-Systemen beginnen.
• Vor dem Rollout die CVE-zu-KB-Zuordnung und die korrigierten Builds auf der MSRC-Seite bestätigen.
• Den CISA-KEV-Katalog prüfen und auf öffentlichen Exploit-Code überwachen.
• Systeme, die keine Sicherheitsupdates mehr erhalten, isolieren oder ersetzen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide (MSRC) msrc.microsoft.com
• NVD record via Vulners vulners.com
• Strix CVE record (third-party, verify build data) www.strix.ai
• Tenable plugin 365475 (Windows 10 1809 / Server 2019) www.tenable.com
• Tenable plugin 365467 (Windows 10 21H2 / 22H2) www.tenable.com
• Senserva Patch Tuesday summary senserva.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 18:56.