Windows Telephony Service: Informationsoffenlegung durch Out-of-Bounds-Read

Zusammenfassung

Microsoft hat einen Out-of-Bounds-Read (CWE-125) im Windows Telephony Service behoben, der Informationen aus dem Speicher offenlegen kann. Ein Angreifer benötigt lokalen Zugriff und niedrige Berechtigungen, eine Benutzerinteraktion ist nicht erforderlich. Die Schwachstelle ist als wichtig (CVSS 5.5) eingestuft, und eine Ausnutzung ist nicht bekannt. Das Hauptrisiko besteht darin, dass sie als Baustein in einer Angriffskette mit weiteren am selben Tag behobenen Telephony-Service-Schwachstellen dienen kann.

Betroffen

• Windows 10 Version 1607 und Windows Server 2016 (inklusive Server Core): Builds vor 10.0.14393.9688
• Windows 10 Version 1809 und Windows Server 2019 (inklusive Server Core): Builds vor 10.0.17763.9487
• Windows 10 Version 21H2: Builds vor 10.0.19044.7846
• Windows 10 Version 22H2: Builds vor 10.0.19045.7846
• Windows 11 Version 23H2: Builds vor 10.0.22631.7711
• Windows 11 Version 24H2: Builds vor 10.0.26100.9974
• Windows 11 Version 25H2: Builds vor 10.0.26200.9974
• Windows 11 Version 26H1: Builds vor 10.0.28000.3501
• Windows 11 Version 26H2: Builds vor 10.0.26300.9974
• Windows Server 2022: Builds vor 10.0.20348.5870

Exakte Builds vor der Bereitstellung auf MSRC prüfen.

Behoben in

• Sicherheitsupdate vom November 2026 für jeden betroffenen Build. KB-Nummern: im MSRC Security Update Guide prüfen.
• Unbekannt: ob die Korrekturen für Windows 10 1607 und 1809 ausschliesslich über ESU bereitgestellt werden.

Umgehung

• Unbekannt. Es ist kein vom Hersteller dokumentierter Workaround bekannt. Sicherheitsupdate installieren.

Ausnutzung

• Eine Ausnutzung in freier Wildbahn ist nicht bekannt.
• CISA SSVC: Ausnutzung keine. Rapid7 stuft die Ausnutzung als weniger wahrscheinlich ein.
• Es wurde kein öffentlicher Proof-of-Concept oder Forschungsbericht gefunden.

Unsere Empfehlung

• Das kumulative Update vom November 2026 im regulären monatlichen Zyklus auf allen betroffenen Windows-Clients und -Servern installieren.
• Gemeinsam genutzte Terminalserver, Hosts mit mehreren Benutzern und Windows-10-1607/1809-Systeme priorisieren. Bei Letzteren die ESU-Registrierung bestätigen.
• Auch die weiteren am selben Tag veröffentlichten Korrekturen für Rechteausweitungen im Telephony Service einspielen.
• Lokale Anmeldung auf vertrauenswürdige Benutzer beschränken.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide: CVE-2026-108408 msrc.microsoft.com
• CVE.org CVE Record: CVE-2026-108408 www.cve.org
• Rapid7: Patch Tuesday November 2026 www.rapid7.com
• Tenable: Microsoft November 2026 Patch Tuesday www.tenable.com
• Strix: CVE-2026-108408 (third-party, unverified versions) www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 16:56.