Windows WinHTTP: Informationsoffenlegung durch Out-of-Bounds-Read

Zusammenfassung

Die Windows-Komponente WinHTTP, die HTTP-Client-API, die Windows und Anwendungen für ausgehende Webanfragen verwenden, enthält einen Out-of-Bounds-Read (CWE-125). Ein berechtigter lokaler Benutzer kann dadurch Speicher ausserhalb des vorgesehenen Puffers lesen und Informationen offenlegen. Voraussetzungen sind lokaler Zugriff, bestehende Anmeldedaten mit niedrigen Berechtigungen und eine hohe Angriffskomplexität; die Schwachstelle ist aus dem Internet allein nicht erreichbar.

Betroffen

• Windows 10 Version 1607 und Windows Server 2016 (inklusive Server Core): Builds vor 10.0.14393.9688
• Windows 10 Version 1809 und Windows Server 2019 (inklusive Server Core): Builds vor 10.0.17763.9487
• Windows 10 Version 21H2: Builds vor 10.0.19044.7846
• Windows 10 Version 22H2: Builds vor 10.0.19045.7846
• Windows 11 Version 23H2: Builds vor 10.0.22631.7711
• Windows 11 Version 24H2: Builds vor 10.0.26100.9974
• Windows 11 Version 25H2: Builds vor 10.0.26200.9974
• Windows 11 Version 26H1: Builds vor 10.0.28000.3501
• Windows 11 Version 26H2: Builds vor 10.0.26300.9974
• Windows Server 2022: Builds vor 10.0.20348.5870

Behoben in

• Das kumulative Update vom November 2026 für jeden betroffenen Build installieren.
• Die behobenen Builds laut offiziellem CVE-Eintrag sind unter Affected als erster Build ohne die Schwachstelle aufgeführt.
• Die Quellen widersprechen sich bei einzelnen Builds (zum Beispiel Windows 11 24H2 und Windows Server 2025). Die genaue Build-Liste vor dem Rollout im MSRC Security Update Guide prüfen.

Umgehung

Unbekannt.

Ausnutzung

• Microsoft kennzeichnet die Schwachstelle als nicht ausgenutzt.
• CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar, partielle technische Auswirkung.
• Der CVE-Eintrag verwendet den temporalen Vektor E:U (Exploit nicht nachgewiesen).
• Zum Zeitpunkt der Recherche wurden kein öffentlicher Proof-of-Concept und kein Eintrag im CISA-KEV-Katalog gefunden.

Unsere Empfehlung

• Das kumulative Update vom November 2026 auf allen betroffenen Windows-10-, Windows-11- und Windows-Server-Systemen im regulären Patch-Zyklus einspielen.
• Mehrbenutzersysteme priorisieren, etwa Terminalserver, RDS-Hosts, gemeinsam genutzte Jump-Hosts und Arbeitsstationen, auf denen unvertrauenswürdige Benutzer oder Schadsoftware Code ausführen könnten.
• Vor dem Rollout die Build-Liste im MSRC-Advisory prüfen, da die Quellen bei einzelnen Builds voneinander abweichen.
• Advisory und KEV-Status in den kommenden Tagen erneut prüfen, da dieser Eintrag sehr neu ist.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide: CVE-2026-108423 msrc.microsoft.com
• CVE Record CVE-2026-108423 (CVE Program) www.cve.org
• Strix: CVE-2026-108423 (third-party, verify against MSRC) www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 20:58.