Microsoft Windows: Remote Code Execution in Graphic Fonts

Zusammenfassung

Ein Heap-based Buffer Overflow in der Windows-Komponente Graphic Fonts erlaubt einem nicht autorisierten Angreifer, über das Netzwerk Code auszuführen. Für den Angriff muss ein Benutzer eine Aktion ausführen, zum Beispiel ein manipuliertes Dokument öffnen oder eine manipulierte Seite aufrufen. Der CVSS-Basiswert beträgt 8.8 (hoch), und die Bewertung von CISA SSVC nennt die technischen Auswirkungen als total.

Betroffen

• Windows 10 Version 1607: 10.0.14393.0 vor 10.0.14393.9688
• Windows 10 Version 1809: 10.0.17763.0 vor 10.0.17763.9487
• Windows 10 Version 21H2: 10.0.19044.0 vor 10.0.19044.7846
• Windows 10 Version 22H2: 10.0.19045.0 vor 10.0.19045.7846
• Windows 11 Version 23H2: 10.0.22631.0 vor 10.0.22631.7711
• Windows 11 Version 24H2: 10.0.26100.0 vor 10.0.26100.9974
• Windows 11 Version 25H2: 10.0.26200.0 vor 10.0.26200.9974
• Windows 11 Version 26H1: 10.0.28000.0 vor 10.0.28000.3501
• Windows 11 Version 26H2: 10.0.26300.0 vor 10.0.26300.9974
• Windows Server 2016 (inklusive Server Core): 10.0.14393.0 vor 10.0.14393.9688
• Windows Server 2019 (inklusive Server Core): 10.0.17763.0 vor 10.0.17763.9487
• Windows Server 2022: 10.0.20348.0 vor 10.0.20348.5870

Behoben in

• Das Windows-Sicherheitsupdate vom November 2026 für jeden betroffenen Build installieren. Die unter 'affected' aufgeführten Build-Nummern sind die ersten korrigierten Builds.
• Genaue KB-Nummern pro Build: Unbekannt. Auf dem MSRC Security Update Guide bestätigen.

Umgehung

• Unbekannt. In den Quellen ist keine Workaround- oder Mitigationsmassnahme dokumentiert. Das Einspielen von Updates ist die einzige dokumentierte Massnahme.

Ausnutzung

• Zum 10. November 2026 ist keine öffentliche Ausnutzung bekannt.
• Der CVSS-Vektor des Herstellers zeigt die Exploit-Reife E:U (nicht nachgewiesen).
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
• Laut den Quellen ist kein Eintrag im CISA-KEV-Katalog vorhanden.

Unsere Empfehlung

• Die kumulativen Updates vom November 2026 für alle Windows-10-, Windows-11- und Windows-Server-Systeme im regulären monatlichen Patch-Zyklus priorisieren.
• Den korrigierten Build für jede Edition vor dem Rollout auf dem MSRC-Advisory bestätigen.
• Prüfen, ob Windows-10-Systeme mit Build 21H2 und 22H2 noch unterstützt sind oder unter ESU fallen, und bei Bedarf Upgrades planen.
• Herstellerinformationen und CISA-Meldungen auf Hinweise zur Ausnutzung überwachen und die Priorität erhöhen, falls eine Ausnutzung gemeldet wird.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-119969 msrc.microsoft.com
• CVE.org record CVE-2026-119969 www.cve.org
• Strix.ai: CVE-2026-119969 www.strix.ai
• Senserva KB 5132061 (third-party, unverified) senserva.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 21:36.