Microsoft Windows VHD Miniport Driver: Heap-Überlauf ermöglicht Rechteausweitung

Zusammenfassung

Ein heap-basierter Pufferüberlauf im Virtual Hard Disk (VHD) Miniport Driver (vhdmp.sys) von Windows erlaubt einem berechtigten lokalen Benutzer, seine Rechte bis auf SYSTEM-Ebene zu erhöhen. Der Angreifer benötigt lokalen Zugriff und niedrige Berechtigungen, daher entsteht das Risiko vor allem nach einem initialen Fussfassen, zum Beispiel durch Phishing oder Malware. Microsoft stuft die Lücke als Important mit einem CVSS-3.1-Score von 7.0 ein; ein öffentlicher Exploit und eine bestätigte Ausnutzung sind nicht bekannt.

Betroffen

• Windows 10 Version 1607 und Windows Server 2016: unterhalb 10.0.14393.9612
• Windows 10 Version 1809: unterhalb 10.0.17763.9376
• Windows 10 Version 21H2: unterhalb 10.0.19044.7807
• Windows 10 Version 22H2: unterhalb 10.0.19045.7807
• Windows 11 Version 23H2: unterhalb 10.0.22631.7652
• Windows 11 Version 24H2 und 25H2: unterhalb 10.0.26100.9711 beziehungsweise 10.0.26200.9711
• Windows 11 Version 26H1: unterhalb 10.0.28000.3231
• Windows 11 Version 26H2: unterhalb 10.0.26300.9711
• Windows Server 2012 und 2012 R2: unterhalb 6.2.9200.26434 beziehungsweise 6.3.9600.23470
• Server-Core-Installationen der oben genannten Server-2012-Versionen sind ebenfalls betroffen

Massgeblich ist die Herstellertabelle; die vollständige Liste finden Sie auf der MSRC-Seite.

Behoben in

• Windows 11 Version 23H2: KB5126653 (Build 22631.7652)
• Windows Server 2025 / Windows 11 24H2-Linie: KB5126646 (Build 26100.33650)
• Windows Server 2022: KB5126655 (Build 20348.5761)
• Monatliche Rollups: KB5126835 und KB5126836
• Windows 10 1607 / Server 2016 sowie 1809 / Server 2019: KB-Nummer unbekannt; vor der Verteilung auf der MSRC-Seite prüfen

Umgehung

Unbekannt. In den geprüften Quellen wurde keine Massnahme gefunden; den Abschnitt Mitigations auf der MSRC-Seite direkt prüfen.

Ausnutzung

• Microsoft markiert die Reife des Exploit-Codes als unbewiesen (E:U) und die Vertrauenswürdigkeit des Berichts als bestätigt (RC:C).
• Ein GitHub-Issue vom 11. Oktober 2026 beschreibt denselben Fehler in vhdmp.sys, ist aber kein öffentlicher Exploit.
• Kein öffentlicher Proof of Concept gefunden.
• Ausnutzung in freier Wildbahn: in den geprüften Quellen nicht bekannt. CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein.
• Status in KEV und EPSS nicht verifiziert.

Unsere Empfehlung

• Die Windows-Updates vom Oktober 2026 auf allen betroffenen Systemen installieren, zuerst auf Servern, Terminal-Servern und gemeinsam genutzten Mehrbenutzer-Endgeräten.
• Auf der MSRC-Seite die passende KB-Nummer für jede Windows-Version ermitteln.
• Lokale Anmeldungen auf nicht patchbaren Systemen, etwa dem nicht mehr unterstützten Windows 10 1607, einschränken und die Risikoakzeptanz dokumentieren.
• Den CISA-KEV-Katalog prüfen und Herstellerhinweise auf Anzeichen einer Ausnutzung überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-103555 msrc.microsoft.com
• Vulners: CVE-2026-103555 vulners.com
• VulDB: CVE-2026-103555 (418061) vuldb.com
• GitHub issue: vhdmp.sys heap overflow report github.com
• Strix: CVE-2026-103555 www.strix.ai
• Senserva: October 2026 Patch Tuesday senserva.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 04.11.2026 09:47.