Windows JScript: Remote Code Execution durch Integer-Überlauf

Zusammenfassung

Eine Schwachstelle in der JScript-Skriptengine von Microsoft unter Windows erlaubt es einem Angreifer, Code aus der Ferne auszuführen. Der CNA-Eintrag ordnet die Schwachstelle einem Integer-Überlauf zu, der zu einem heapbasierten Pufferüberlauf führen kann (CWE-122, CWE-190). Die Ausnutzung ist komplex und erfordert eine Benutzerinteraktion, etwa wenn ein Opfer angreiferkontrollierte Skriptinhalte öffnet oder ausführt. Ein erfolgreicher Angriff kann die Vertraulichkeit, Integrität und Verfügbarkeit des betroffenen Systems vollständig gefährden.

Betroffen

• Windows 10 Version 1607 und Windows Server 2016 (inklusive Server Core): Builds 10.0.14393.0 bis vor 10.0.14393.9688
• Windows 10 Version 1809 und Windows Server 2019 (inklusive Server Core): Builds 10.0.17763.0 bis vor 10.0.17763.9487
• Windows 10 Version 21H2: Builds 10.0.19044.0 bis vor 10.0.19044.7846
• Windows 10 Version 22H2: Builds 10.0.19045.0 bis vor 10.0.19045.7846
• Windows 11 Version 23H2: Builds 10.0.22631.0 bis vor 10.0.22631.7711
• Windows 11 Version 24H2: Builds 10.0.26100.0 bis vor 10.0.26100.9974
• Windows 11 Version 25H2: Builds 10.0.26200.0 bis vor 10.0.26200.9974
• Windows 11 Version 26H1: Builds 10.0.28000.0 bis vor 10.0.28000.3501
• Windows 11 Version 26H2: Builds 10.0.26300.0 bis vor 10.0.26300.9974
• Windows Server 2022: Builds 10.0.20348.0 bis vor 10.0.20348.5870

Behoben in

• Behoben in den Sicherheitsupdates vom November 2026. Die behobenen Builds sind laut CVE-Eintrag die ersten nicht betroffenen Builds: 10.0.14393.9688, 10.0.17763.9487, 10.0.19044.7846, 10.0.19045.7846, 10.0.22631.7711, 10.0.26100.9974, 10.0.26200.9974, 10.0.28000.3501, 10.0.26300.9974, 10.0.20348.5870.
• Zugehörige KB-Nummern: Unbekannt. Vor dem Rollout auf MSRC prüfen.

Umgehung

• Keine Workaround des Herstellers gefunden. Das Sicherheitsupdate einspielen.
• Wo Windows Script Host oder andere JScript-Komponenten nicht benötigt werden, kann deren Einschränkung geprüft werden. Vor der Durchsetzung testen.

Ausnutzung

• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
• Kein öffentlicher Proof of Concept gefunden.
• Die Bewertung der Ausnutzbarkeit durch Microsoft für diese CVE: Unbekannt.

Unsere Empfehlung

• Betroffene Windows-Arbeitsstationen und Server mit dem kumulativen Update vom November 2026 patchen, zuerst Systeme mit lokalen Administratorrechten oder mit E-Mail- und Webinhalten.
• Die installierten Build-Nummern mit den oben genannten behobenen Builds und dem MSRC-Advisory abgleichen.
• Auf ungewöhnliche Skriptausführung achten, etwa über Windows Script Host, und diese Komponenten dort einschränken, wo sie nicht benötigt werden.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-112985 msrc.microsoft.com
• CVE Record CVE-2026-112985 www.cve.org
• Strix: CVE-2026-112985 www.strix.ai
• Action1: Patch Tuesday November 2026 www.action1.com
• HKCERT security bulletin: Windows JScript integer overflow RCE www.hkcert.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 05:56.