Windows Win32k: Out-of-Bounds-Lesezugriff ermöglicht lokale Rechteerweiterung

Zusammenfassung

Ein Out-of-Bounds-Lesezugriff im Kernel-Modus-Grafikkomponenten Win32k von Windows ermöglicht einem berechtigten lokalen Angreifer eine Rechteerweiterung. Der Angreifer benötigt niedrige Berechtigungen und lokalen Zugriff, weshalb es sich um einen Folgeschritt nach einem initialen Zugriff handelt, etwa durch einen Phishing-Opfer, Schadsoftware oder ein kompromittiertes Konto mit niedrigen Rechten. Der CVSS-Basiswert beträgt 7.8 (hoch) mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit, sobald der Angreifer lokal aktiv ist.

Betroffen

• Windows 10 Version 1607 und Windows Server 2016 (inklusive Server Core): 10.0.14393.0 bis vor 10.0.14393.9688
• Windows 10 Version 1809 und Windows Server 2019 (inklusive Server Core): 10.0.17763.0 bis vor 10.0.17763.9487
• Windows 10 Version 21H2: 10.0.19044.0 bis vor 10.0.19044.7846
• Windows 10 Version 22H2: 10.0.19045.0 bis vor 10.0.19045.7846
• Windows 11 Version 23H2: 10.0.22631.0 bis vor 10.0.22631.7711
• Windows 11 Version 24H2: 10.0.26100.0 bis vor 10.0.26100.9974
• Windows 11 Version 25H2: 10.0.26200.0 bis vor 10.0.26200.9974
• Windows 11 Version 26H1: 10.0.28000.0 bis vor 10.0.28000.3501
• Windows 11 Version 26H2: 10.0.26300.0 bis vor 10.0.26300.9974
• Windows Server 2022: 10.0.20348.0 bis vor 10.0.20348.5870

Behoben in

• Das kumulative Update vom November 2026 für jeden betroffenen Windows-Branch installieren, das die oben aufgeführten korrigierten Builds enthält.
• Genaue KB-Nummern pro Branch: Unbekannt. Vor der Verteilung im MSRC Security Update Guide prüfen.

Umgehung

Unbekannt. Es ist kein vom Hersteller dokumentierter Workaround oder Mitigationsschritt bekannt; das Einspielen des Patches ist die Korrektur.

Ausnutzung

• In den geprüften Quellen gibt es keine Hinweise auf eine aktive Ausnutzung.
• In den geprüften Quellen nicht im CISA KEV aufgeführt.
• Vor dem Patch wurde keine öffentliche Offenlegung oder kein Proof of Concept gefunden.
• EPSS-Wert: Unbekannt.

Unsere Empfehlung

• Das kumulative Update vom November 2026 einspielen, zuerst auf Mehrbenutzersystemen, Terminal- und RDS-Servern sowie gemeinsam genutzten PCs.
• Prüfen, ob betroffene Windows-10-Systeme gepatcht oder ersetzt werden, da sie auf der Liste der betroffenen Versionen stehen.
• Lokale Anmeldung auf die notwendigen Benutzer beschränken und auf ungewöhnliche Rechteänderungen achten.
• NVD, CISA KEV und MSRC auf Änderungen prüfen, da die NVD-Analyse zum Zeitpunkt der Veröffentlichung noch ausstand.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide: CVE-2026-105028 msrc.microsoft.com
• CVE Record: CVE-2026-105028 www.cve.org
• Strix AI: CVE-2026-105028 www.strix.ai
• Senserva KB5132059 (November 2026 Windows update) senserva.com
• Senserva KB5131096 (Windows 10 21H2 update) senserva.com
• Trinetriops: November 2026 Patch Tuesday trinetriops.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 04:38.