Microsoft Windows Desktop Window Manager: Lokale Rechteerweiterung durch Stack-Überlauf

Zusammenfassung

Die Komponente Desktop Window Manager (DWM) von Windows 11 sowie Windows Server 2022 und 2025 enthält einen Stack-basierten Pufferüberlauf (CWE-121). Ein berechtigter lokaler Benutzer mit niedrigen Rechten kann diesen ausnutzen, um höhere Rechte zu erlangen, potenziell bis zu SYSTEM. Voraussetzung ist eine vorgängige lokale Codeausführung, etwa durch Phishing oder Malware; die Schwachstelle ist für sich allein nicht aus dem Internet erreichbar.

Betroffen

• Windows 11 Version 23H2: Builds vor 10.0.22631.7711
• Windows 11 Version 24H2: Builds vor 10.0.26100.9974
• Windows 11 Version 25H2: Builds vor 10.0.26200.9974 (gemäss CVE-Eintrag)
• Windows 11 Version 26H1: Builds vor 10.0.28000.3501
• Windows 11 Version 26H2: Builds vor 10.0.26300.9974 (gemäss CVE-Eintrag)
• Windows Server 2022: Builds vor 10.0.20348.5870
• Windows Server 2025 (inklusive Server Core): Builds vor 10.0.26100.33822
• Windows 10 und andere Versionen: Unbekannt.

Behoben in

• Das kumulative Update vom November 2026 für die betroffene Windows-Version installieren (Windows Update oder WSUS).
• Windows 11 24H2: KB5132061 laut einem Drittanbieter-Tracker, nicht gegen Microsoft verifiziert; im Microsoft Update Catalog bestätigen.
• Korrigierte Builds für 25H2 und 26H2 gemäss CVE-Eintrag: gegen das MSRC-Advisory prüfen.

Umgehung

• Kein herstellerspezifischer Workaround gefunden. Unbekannt.
• Übergangsmassnahmen (allgemeine Praxis): lokale Anmeldung für nicht vertrauenswürdige Benutzer einschränken und das Least-Privilege-Prinzip durchsetzen.

Ausnutzung

• In freier Wildbahn ausgenutzt: Nein.
• Öffentlicher Proof-of-Concept-Exploit: keiner gefunden.
• CISA SSVC: Ausnutzung none, automatisierbar nein, technische Auswirkung total.
• Stand 2026-11-10; kann sich ändern.

Unsere Empfehlung

• Im nächsten regulären Update-Zyklus mit dem kumulativen Update vom November 2026 patchen; Priorität erhöhen, falls öffentlicher Exploit-Code oder Ausnutzung auftaucht.
• Build-Nummer auf jedem Gerät nach der Installation prüfen.
• Gemeinsam genutzte Arbeitsstationen und Terminal-Server priorisieren, da ein Standardbenutzerkonto zu SYSTEM werden könnte.
• EDR aktiv halten und Endgeräte auf Malware überwachen, da lokale Codeausführung die Voraussetzung ist.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE Record CVE-2026-105581 www.cve.org
• Microsoft Security Update Guide msrc.microsoft.com
• Senserva KB 5132061 (third-party, unverified) senserva.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 00:00.