Windows: Heap-basierter Pufferüberlauf im VHD Miniport Driver

Zusammenfassung

Ein Heap-basierter Pufferüberlauf im Virtual Hard Disk (VHD) Miniport Driver von Windows erlaubt es einem berechtigten lokalen Angreifer, seine Rechte zu erhöhen. Der Angreifer benötigt ein gültiges Konto mit niedrigen Rechten und lokalen Zugriff, und die Ausnutzung gilt als komplex. Bei erfolgreicher Ausnutzung wären die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit hoch (CVSS 3.1: 7.0, High).

Betroffen

• Windows 10 Version 1607 und Windows Server 2016 (inkl. Server Core): Builds 10.0.14393.0 vor 10.0.14393.9612
• Windows 10 Version 1809: Builds 10.0.17763.0 vor 10.0.17763.9376
• Windows 10 Version 21H2: Builds 10.0.19044.0 vor 10.0.19044.7807
• Windows 10 Version 22H2: Der im CNA-Eintrag angegebene Build-Bereich ist inkonsistent (siehe behobene Versionen)
• Windows 11 Version 23H2: Builds 10.0.22631.0 vor 10.0.22631.7652
• Windows 11 Version 24H2 und 25H2: Builds 10.0.26100.0 vor 10.0.26100.9711 bzw. 10.0.26200.0 vor 10.0.26200.9711
• Windows 11 Version 26H1: Builds 10.0.28000.0 vor 10.0.28000.3231
• Windows Server 2012 (inkl. Server Core): Builds 6.2.9200.0 vor 6.2.9200.26434
• Windows Server 2012 R2 (inkl. Server Core): Builds 6.3.9600.0 vor 6.3.9600.23470

Behoben in

• Windows 10 Version 1607 und Windows Server 2016: 10.0.14393.9612
• Windows 10 Version 1809: 10.0.17763.9376
• Windows 10 Version 21H2: 10.0.19044.7807
• Windows 10 Version 22H2: 10.0.19045.7807 (auf der MSRC-Seite zu bestätigen, da der CNA-Eintrag 10.0.19044.7807 angibt)
• Windows 11 Version 23H2: 10.0.22631.7652
• Windows 11 Version 24H2 und 25H2: 10.0.26100.9711 bzw. 10.0.26200.9711
• Windows 11 Version 26H1: 10.0.28000.3231
• Windows Server 2012: 6.2.9200.26434
• Windows Server 2012 R2: 6.3.9600.23470
• KB-Nummern: Unbekannt. Die korrekte KB pro Build ist im MSRC Security Update Guide oder im Microsoft Update Catalog zu prüfen.

Umgehung

Unbekannt. Es wurde keine Workaround des Herstellers identifiziert; das Einspielen des Sicherheitsupdates ist die einzige bestätigte Massnahme.

Ausnutzung

• Es wurde keine bestätigte Ausnutzung in freier Wildbahn gefunden.
• Es wurde kein öffentlicher Proof of Concept gefunden.
• CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Der EPSS-Wert von 0.00252 weist auf eine geringe Ausnutzungswahrscheinlichkeit hin.

Unsere Empfehlung

• Alle Windows-10-1607-, Windows-Server-2016- und weitere betroffene Systeme inventarisieren und prüfen, ob sie mindestens den behobenen Build aufweisen.
• Das Sicherheitsupdate vom Oktober 2026 auf allen betroffenen Systemen installieren; die KB pro Build über den MSRC beziehen.
• Den Microsoft-Lifecycle für Windows 10 1607 und Windows Server 2016 prüfen; bei fehlendem Support oder ausbleibenden Fixes eine Migration planen.
• Bis zur Behebung die lokale interaktive Anmeldung auf vertrauenswürdige Benutzer beschränken und keine nicht vertrauenswürdigen VHD- oder VHDX-Dateien auf betroffenen Systemen einbinden.
• Auf ungewöhnliche Rechteänderungen oder Prozesse lokaler Konten achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide: CVE-2026-109453 msrc.microsoft.com
• Vulners NVD record CVE-2026-109453 vulners.com
• CIRCL CWE-122 overview vulnerability.circl.lu
• Strix CVE summary CVE-2026-109453 www.strix.ai
• Tenable plugin 365473 (bulletin reference) www.tenable.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 04.11.2026 09:39.