Windows GDI: Out-of-Bounds-Lesezugriff ermöglicht lokale Rechteausweitung

Zusammenfassung

Ein Out-of-Bounds-Lesezugriff (CWE-125) in der Grafikkomponente Windows GDI erlaubt einem Angreifer mit lokalem Zugriff und niedrigen Berechtigungen, seine Rechte bis auf SYSTEM zu erhöhen. Bei erfolgreicher Ausnutzung wären Vertraulichkeit, Integrität und Verfügbarkeit stark betroffen. Der Angreifer benötigt zuerst einen Fuss im System, etwa durch Phishing, ein kompromittiertes lokales Konto oder Schadsoftware.

Betroffen

• Windows 10 Version 1607 (Server 2016 ebenfalls betroffen): Builds ab 10.0.14393.0 vor 10.0.14393.9688
• Windows 10 Version 1809 (Server 2019 ebenfalls betroffen): Builds ab 10.0.17763.0 vor 10.0.17763.9487
• Windows 10 Version 21H2: Builds ab 10.0.19044.0 vor 10.0.19044.7846
• Windows 10 Version 22H2: Builds ab 10.0.19045.0 vor 10.0.19045.7846
• Windows 11 Version 23H2: Builds ab 10.0.22631.0 vor 10.0.22631.7711
• Windows 11 Version 24H2: Builds ab 10.0.26100.0 vor 10.0.26100.9974
• Windows 11 Version 25H2: Builds ab 10.0.26200.0 vor 10.0.26200.9974
• Windows 11 Version 26H1: Builds ab 10.0.28000.0 vor 10.0.28000.3501
• Windows 11 Version 26H2: Builds ab 10.0.26300.0 vor 10.0.26300.9974
• Windows Server 2022: Builds ab 10.0.20348.0 vor 10.0.20348.5870

Behoben in

• Builds mit den jeweils angegebenen Werten oder höher für die betroffene Windows-Version (zum Beispiel 10.0.22631.7711 für Windows 11 23H2, 10.0.20348.5870 für Server 2022).
• Die genaue KB- und Build-Nummer für Ihre Version auf dem MSRC Security Update Guide bestätigen.

Umgehung

Unbekannt. Es wurde keine dokumentierte Workaround gefunden; das Windows-Sicherheitsupdate einspielen.

Ausnutzung

• CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
• Keine Hinweise auf eine Ausnutzung in freier Wildbahn für diese CVE.
• Kein öffentlicher Proof-of-Concept gefunden.
• Einige Berichte zum November-2026-Release nennen einen aktiv ausgenutzten Fehler, keine der Quellen verbindet diesen jedoch mit dieser CVE.

Unsere Empfehlung

• Im regulären Update-Zyklus November 2026 patchen, zuerst Windows-10- und Server-Systeme, die nicht mehr unterstützt werden oder keine Extended Security Updates haben.
• Jeden Windows-Build gegen die oben genannten betroffenen Bereiche prüfen und die korrigierte Build-Nummer auf MSRC verifizieren.
• Lokale Anmeldungen auf gemeinsam genutzten, Multi-User-, RDS- und Terminalservern einschränken und auf ungewöhnliche Rechteänderungen überwachen.
• Auf Basis der aktuellen Ausnutzungsdaten ist keine Notfallmassnahme erforderlich.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE.org record CVE-2026-108407 www.cve.org
• MSRC Security Update Guide msrc.microsoft.com
• Senserva KB 5131096 senserva.com
• strix.ai CVE-2026-108407 mirror www.strix.ai
• ZDI November 2026 security update review www.zerodayinitiative.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 04:27.