Microsoft XPS Document Converter: Remote Code Execution durch Heap-Overflow

Zusammenfassung

Ein Heap-basierter Pufferüberlauf im Microsoft XPS Document Converter erlaubt einem nicht authentifizierten Angreifer, über ein Netzwerk Code aus der Ferne auszuführen. Die Angriffskomplexität ist hoch und eine Benutzerinteraktion ist erforderlich, daher ist der realistische Angriffsweg, dass ein Benutzer ein manipuliertes XPS-Dokument aus einer E-Mail oder einem Download öffnet. Der CVSS-Score von Microsoft beträgt 7.5 (hoch), und der CVE-Eintrag zeigt eine vollständige Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit.

Betroffen

• Windows 10 Version 1607 und Windows Server 2016 (inklusive Server Core): Builds vor 10.0.14393.9688
• Windows 10 Version 1809 und Windows Server 2019 (inklusive Server Core): Builds vor 10.0.17763.9487
• Windows 10 Version 21H2: Builds vor 10.0.19044.7846
• Windows 10 Version 22H2: Builds vor 10.0.19045.7846
• Windows 11 Version 23H2: Builds vor 10.0.22631.7711
• Windows 11 Version 24H2: Builds vor 10.0.26100.9974
• Windows 11 Version 25H2 und 26H2: Builds vor 10.0.26200.9974 beziehungsweise 10.0.26300.9974
• Windows 11 Version 26H1: Builds vor 10.0.28000.3501
• Windows Server 2022: Builds vor 10.0.20348.5870

Behoben in

• Das Windows-Sicherheitsupdate vom November 2026 für die oben aufgeführten betroffenen Builds installieren (Builds mit der aufgeführten Nummer oder höher).
• Genaue KB-Artikelnummern pro Betriebssystem: Unbekannt.

Umgehung

Unbekannt. In den verfügbaren Quellen ist keine Workaround- oder Mitigationsmassnahme dokumentiert. Die Hinweise zu Massnahmen im FAQ des MSRC-Advisories prüfen.

Ausnutzung

• Kein öffentlicher Proof of Concept gefunden.
• CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Microsofts CVSS-Temporalmetrik E:U (Reifegrad des Exploit-Codes 'unbewiesen') zum Zeitpunkt der Veröffentlichung.
• Ein Rapid7-Bericht erwähnt eine ausgenutzte Schwachstelle aus diesem Patch-Paket, nennt sie aber nicht. Eine Ausnutzung dieser CVE ist nicht bestätigt.

Unsere Empfehlung

• Die Windows-Sicherheitsupdates vom November 2026 auf allen Windows-10-, Windows-11- und Server-Endgeräten installieren, zuerst auf den oben aufgeführten betroffenen Builds.
• Mitarbeitende anweisen, unbekannte XPS-Dokumente aus E-Mails oder Downloads bis zur vollständigen Aktualisierung nicht zu öffnen.
• Das MSRC-Advisory und die NVD-Analyse nach der Veröffentlichung prüfen und den genauen Fix-Build pro Betriebssystem bestätigen.
• Auf aktualisierte Informationen zur Ausnutzung achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide: CVE-2026-119880 msrc.microsoft.com
• CVE Record (CNA: Microsoft) www.cve.org
• Zero Day Initiative: November 2026 security update review www.zerodayinitiative.com
• Rapid7: Patch Tuesday November 2026 www.rapid7.com
• Strix AI: CVE-2026-119880 (third-party, unconfirmed version data) www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 05:31.