Microsoft Windows: Informationsoffenlegung im Windows Overlay Filter

Zusammenfassung

Im Windows Overlay Filter (wof.sys) von Microsoft Windows 10, Windows 11 und Windows Server besteht eine lokale Schwachstelle zur Informationsoffenlegung. Ein authentifizierter lokaler Benutzer mit geringen Rechten kann Daten lesen, auf die er keinen Zugriff haben sollte; die Auswirkung betrifft nur die Vertraulichkeit. Der Angriff setzt lokalen Zugriff voraus und ist nicht über das Netzwerk erreichbar. Microsoft stuft die Schwachstelle mit CVSS 5.5 (mittel) ein.

Betroffen

• Windows 10 Version 1607 (vor 10.0.14393.9688)
• Windows 10 Version 1809 (vor 10.0.17763.9487)
• Windows 10 Version 21H2 (vor 10.0.19044.7846)
• Windows 10 Version 22H2 (vor 10.0.19045.7846)
• Windows 11 Version 23H2 (vor 10.0.22631.7711)
• Windows 11 Version 24H2 (vor 10.0.26100.9974)
• Windows 11 Version 25H2 (vor 10.0.26200.9974)
• Windows 11 Version 26H1 (vor 10.0.28000.3501)
• Windows 11 Version 26H2 (vor 10.0.26300.9974)
• Windows Server 2016, inkl. Server Core (vor 10.0.14393.9688)
• Windows Server 2019, inkl. Server Core (vor 10.0.17763.9487)
• Windows Server 2022 (vor 10.0.20348.5870)

Behoben in

• Sicherheitsupdate vom Patchday im November 2026, behoben in den oben aufgeführten Builds.
• Die Build-Nummern stammen aus dem CVE-Eintrag. Vor der Einführung auf der MSRC-Seite überprüfen.
• Drittanbieter-Zusammenfassungen nennen KB5131080 und KB5131087 als Träger-Updates. Diese KB-Nummern sind nicht verifiziert.

Umgehung

Unbekannt. Der Hersteller dokumentiert keine Workaround. Das Update installieren.

• Vorläufige Risikominderung (nicht aus einer Herstellerquelle): lokale interaktive Anmeldungen auf gemeinsam genutzten Hosts und Terminalservern einschränken und das Least-Privilege-Prinzip anwenden.

Ausnutzung

• Kein öffentlicher Exploit bekannt.
• Im überprüften Datenbestand nicht im CISA-KEV-Katalog gelistet. CISA SSVC: Exploitation none, nicht automatisierbar.
• Keine Hinweise auf Ausnutzung in freier Wildbahn.

Unsere Empfehlung

• Das kumulative Update vom November 2026 im regulären monatlichen Patch-Zyklus auf allen betroffenen Windows-Hosts installieren.
• Mehrbenutzer-Server sowie RDS- und Terminalserver priorisieren.
• Die fixen Builds vor der Einführung auf der MSRC-Seite überprüfen, da die Quellen voneinander abweichen.
• Lokale Anmeldungen auf gemeinsam genutzten Systemen einschränken.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-112750 msrc.microsoft.com
• CVE.org record CVE-2026-112750 (Microsoft CNA) www.cve.org
• VulDB entry 434864 vuldb.com
• Senserva summary KB5131080 senserva.com
• Senserva summary KB5131087 senserva.com
• Strix AI CVE-2026-112750 (third-party) www.strix.ai
• Microsoft Learn: Windows image file boot (WIM/WoF background) learn.microsoft.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 16:55.