Microsoft JScript: Schwachstelle für Remote Code Execution

Zusammenfassung

Ein Integer Overflow oder Wraparound in der JScript-Skriptengine von Windows erlaubt einem nicht authentifizierten Angreifer, über das Netzwerk Code auszuführen. Die Ausnutzung wird mit hoher Komplexität bewertet und erfordert eine Benutzerinteraktion, etwa das Öffnen einer präparierten Webseite oder Datei. Der CVSS-3.1-Basiswert beträgt 7.5 (hoch).

Betroffen

• Windows 10 Version 1607 (Builds 10.0.14393.0 bis vor 10.0.14393.9688)
• Windows 10 Version 1809 (Builds 10.0.17763.0 bis vor 10.0.17763.9487)
• Windows 10 Version 21H2 (Builds 10.0.19044.0 bis vor 10.0.19044.7846)
• Windows 10 Version 22H2 (Builds 10.0.19045.0 bis vor 10.0.19045.7846)
• Windows 11 Version 23H2 (Builds 10.0.22631.0 bis vor 10.0.22631.7711)
• Windows 11 Version 24H2 (Builds 10.0.26100.0 bis vor 10.0.26100.9974)
• Windows 11 Version 25H2 (Builds 10.0.26200.0 bis vor 10.0.26200.9974)
• Windows 11 Version 26H1 (Builds 10.0.28000.0 bis vor 10.0.28000.3501)
• Windows 11 Version 26H2 (Builds 10.0.26300.0 bis vor 10.0.26300.9974)
• Windows Server 2016, inklusive Server Core (Builds 10.0.14393.0 bis vor 10.0.14393.9688)
• Windows Server 2019, inklusive Server Core (Builds 10.0.17763.0 bis vor 10.0.17763.9487)
• Windows Server 2022 (Builds 10.0.20348.0 bis vor 10.0.20348.5870)

Behoben in

Behoben im Sicherheitsupdate von Microsoft vom November 2026. Behobene Builds gemäss CVE-Eintrag:

• 10.0.14393.9688 (Windows 10 1607, Server 2016)
• 10.0.17763.9487 (Windows 10 1809, Server 2019)
• 10.0.19044.7846 (Windows 10 21H2)
• 10.0.19045.7846 (Windows 10 22H2)
• 10.0.22631.7711 (Windows 11 23H2)
• 10.0.26100.9974 (Windows 11 24H2)
• 10.0.26200.9974 (Windows 11 25H2)
• 10.0.28000.3501 (Windows 11 26H1)
• 10.0.26300.9974 (Windows 11 26H2)
• 10.0.20348.5870 (Windows Server 2022)

KB-Nummern: Unbekannt. Bitte auf der MSRC-Advisory-Seite prüfen.

Umgehung

Unbekannt. Es wurde kein vom Hersteller veröffentlichter Workaround identifiziert. Die Einschränkung von JScript oder von Legacy-Skriptausführung per Richtlinie, sofern sie nicht benötigt wird, kann die Exposition verringern; dies ist eine allgemeine Empfehlung und keine Herstellerangabe.

Ausnutzung

• Zum Zeitpunkt der Recherche wurde keine Ausnutzung in freier Wildbahn gefunden.
• Es wurde kein öffentlicher Proof of Concept gefunden.
• CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Status im CISA KEV: nicht geprüft.

Unsere Empfehlung

• Das Sicherheitsupdate vom November 2026 auf allen betroffenen Windows-Clients und -Servern installieren, zuerst auf Systemen mit Browser- oder Mailzugriff.
• Den installierten Build vor und nach der Verteilung mit dem MSRC-Advisory abgleichen.
• Legacy-Skriptausführung dort einschränken, wo sie nicht benötigt wird.
• Unsichere Skripte und Anhänge am Mail- und Web-Gateway filtern oder in einer Sandbox prüfen.
• Endgeräte auf unerwartete Skriptausführung überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE Record CVE-2026-105578 (CVE Program) www.cve.org
• MSRC Security Update Guide: CVE-2026-105578 msrc.microsoft.com
• BleepingComputer: Microsoft November 2026 Patch Tuesday www.bleepingcomputer.com
• Rapid7: November 2026 Patch Tuesday www.rapid7.com
• Strix: CVE-2026-105578 (third-party tracker, unverified) www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 06:07.