Microsoft Windows GDI: Informationsoffenlegung durch Out-of-Bounds Read

Zusammenfassung

Ein Out-of-Bounds Read in der Windows Graphics Device Interface (GDI) erlaubt einem nicht autorisierten Angreifer, über das Netzwerk kleine Teile des Heap-Speichers auszulesen. Der CVSS-Vektor erfordert keine Berechtigungen, aber eine Benutzerinteraktion, und die Auswirkung beschränkt sich auf die Vertraulichkeit. Microsoft stuft die Ausnutzung als weniger wahrscheinlich ein, und es ist kein öffentlicher Exploit-Code bekannt.

Betroffen

• Windows 10 Version 1607 (Builds vor 10.0.14393.9688)
• Windows 10 Version 1809 (Builds vor 10.0.17763.9487)
• Windows 10 Version 21H2 (Builds vor 10.0.19044.7846)
• Windows 10 Version 22H2 (Builds vor 10.0.19045.7846)
• Windows 11 Version 23H2 (Builds vor 10.0.22631.7711)
• Windows 11 Version 24H2 (Builds vor 10.0.26100.9974)
• Windows 11 Version 25H2 (Builds vor 10.0.26200.9974)
• Windows 11 Version 26H1 (Builds vor 10.0.28000.3501)
• Windows 11 Version 26H2 (Builds vor 10.0.26300.9974)
• Windows Server 2016 inkl. Server Core (Builds vor 10.0.14393.9688)
• Windows Server 2019 inkl. Server Core (Builds vor 10.0.17763.9487)
• Windows Server 2022 (Builds vor 10.0.20348.5870)

Behoben in

• Behoben im Sicherheitsupdate vom November 2026 (MSRC, veröffentlicht am 10. November 2026)
• Windows 10 1607 / Server 2016: 10.0.14393.9688
• Windows 10 1809 / Server 2019: 10.0.17763.9487
• Windows 10 21H2: 10.0.19044.7846
• Windows 10 22H2: 10.0.19045.7846
• Windows 11 23H2: 10.0.22631.7711
• Windows Server 2022: 10.0.20348.5870
• Unbekannt: KB-Nummern, Build für Windows 11 26H1 ARM64 und Details zu den ESU für Windows 10. Vor der Verteilung auf der MSRC-Seite prüfen.

Umgehung

Unbekannt. Es wurde keine Workaround des Herstellers gefunden; das Sicherheitsupdate vom November 2026 installieren.

Ausnutzung

• Öffentlich bekannt gemacht: Nein
• Ausgenutzt: Nein
• Einschätzung der Ausnutzbarkeit durch Microsoft: Exploitation Less Likely
• Nicht im CISA-KEV-Katalog aufgeführt
• Mit Stand 11. November 2026 kein öffentlicher Proof of Concept gefunden

Unsere Empfehlung

• Das Windows-Sicherheitsupdate vom November 2026 auf allen betroffenen Systemen installieren, Windows-10-Systeme mit Extended Security Updates zuerst
• Patchstand der Server mit Windows Server 2016, 2019 und 2022 prüfen
• Die genauen Builds vor der Verteilung auf der MSRC-Seite verifizieren
• Auf Meldungen zu Ausnutzung und öffentlichem Exploit-Code achten, da diese CVE erst kürzlich veröffentlicht wurde

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-108424 msrc.microsoft.com
• CVE Record: CVE-2026-108424 www.cve.org
• OffSeq Radar: CVE-2026-108424 radar.offseq.com
• Strix: CVE-2026-108424 www.strix.ai
• Rapid7: Patch Tuesday November 2026 www.rapid7.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 12:36.