Microsoft Graphics Component: Informationsoffenlegung durch Out-of-Bounds-Read

Zusammenfassung

Ein Out-of-Bounds-Read in der Microsoft Graphics Component unterstützter Windows-10-, Windows-11- und Windows-Server-Versionen ermöglicht es einem Angreifer, Informationen offenzulegen. Der Angreifer benötigt lokalen Zugriff und niedrige Berechtigungen, und ein Benutzer muss eine Aktion ausführen, etwa eine präparierte Datei öffnen oder eine App starten. Der CVSS-Basiswert beträgt 5.5 (mittel) mit hoher Vertraulichkeitsauswirkung und ohne Auswirkung auf Integrität oder Verfügbarkeit.

Betroffen

• Windows 10 Version 1607 und Windows Server 2016 (inklusive Server-Core-Installation): 10.0.14393.0 bis vor 10.0.14393.9688
• Windows 10 Version 1809 und Windows Server 2019 (inklusive Server-Core-Installation): 10.0.17763.0 bis vor 10.0.17763.9487
• Windows 10 Version 21H2: 10.0.19044.0 bis vor 10.0.19044.7846
• Windows 10 Version 22H2: 10.0.19045.0 bis vor 10.0.19045.7846
• Windows 11 Version 23H2: 10.0.22631.0 bis vor 10.0.22631.7711
• Windows 11 Version 24H2: 10.0.26100.0 bis vor 10.0.26100.9974
• Windows 11 Version 25H2 und 26H2: 10.0.26200.0 bis vor 10.0.26200.9974 sowie 10.0.26300.0 bis vor 10.0.26300.9974
• Windows 11 Version 26H1: 10.0.28000.0 bis vor 10.0.28000.3501
• Windows Server 2022: 10.0.20348.0 bis vor 10.0.20348.5870

Behoben in

• Das Sicherheitsupdate vom November 2026 für die betroffene Windows-Version installieren, das die oben aufgeführten korrigierten Builds enthält.
• Den genauen korrigierten Build für jedes Produkt vor der Verteilung im MSRC-Advisory überprüfen.

Umgehung

Keine Umgehungsmassnahme bekannt. Das Sicherheitsupdate installieren.

Ausnutzung

• CISA SSVC: keine Ausnutzung, nicht automatisierbar, partielle technische Auswirkung.
• Rapid7 stuft die Ausnutzung als weniger wahrscheinlich ein. Die Schwachstelle ist nicht öffentlich bekannt.
• Kein öffentlicher Proof of Concept und kein Eintrag im CISA-KEV-Katalog bekannt.

Unsere Empfehlung

• Das Windows-Sicherheitsupdate vom November 2026 auf allen betroffenen Systemen installieren, mit Priorität auf Multi-User-Terminalservern und gemeinsam genutzten Arbeitsstationen.
• Prüfen, ob Windows-10-Systeme noch Sicherheitsupdates (ESU) erhalten, da Systeme ohne ESU diesen Fix nicht erhalten.
• Lokale Konten auf das Minimum an Berechtigungen beschränken und die Ausführung nicht vertrauenswürdiger Dateien und Apps einschränken.
• Betroffene Systeme bis zum Abschluss der Patchinstallation auf ungewöhnliche Aktivitäten überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE.org record CVE-2026-112754 www.cve.org
• MSRC Security Update Guide msrc.microsoft.com
• ZDI November 2026 security update review www.thezdi.com
• Rapid7 Patch Tuesday November 2026 www.rapid7.com
• BleepingComputer Microsoft November 2026 Patch Tuesday www.bleepingcomputer.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 16:54.