Windows Update Stack: Informationsoffenlegung durch Integer-Underflow

Zusammenfassung

Microsoft hat einen Integer-Underflow mit Out-of-Bounds-Read im Windows Update Stack von Windows 11 und Windows Server 2025 behoben. Ein berechtigter lokaler Benutzer mit niedrigen Privilegien kann Informationen offenlegen, die er nicht sehen sollte, wobei die Auswirkung nur die Vertraulichkeit betrifft. Ein Angriff setzt ein lokales, angemeldetes Konto voraus; CVSS 5.5 (Mittel), und es ist keine Ausnutzung bekannt.

Betroffen

• Windows 11 Version 24H2: 10.0.26100.0 bis vor 10.0.26100.9974
• Windows 11 Version 25H2: 10.0.26200.0 bis vor 10.0.26200.9974
• Windows 11 Version 26H1: 10.0.28000.0 bis vor 10.0.28000.3501
• Windows 11 Version 26H2: 10.0.26300.0 bis vor 10.0.26300.9974
• Windows Server 2025 (inklusive Server Core): 10.0.26100.0 bis vor 10.0.26100.33822

Behoben in

• Windows 11 24H2, 25H2, 26H2: KB5132061 (10. Nov 2026), Builds 26100.9974, 26200.9974, 26300.9974; benötigt zuvor das Servicing Stack Update 26100.9539 oder neuer
• Windows 11 26H1: KB unbekannt; behobener Build 10.0.28000.3501
• Windows Server 2025: KB unbekannt; behobener Build 10.0.26100.33822

Umgehung

Unbekannt. Es ist kein Workaround dokumentiert; das Kumulative Update vom November 2026 installieren.

Ausnutzung

• Nicht im CISA KEV aufgeführt; CISA SSVC: Ausnutzung keine, nicht automatisierbar.
• Rapid7 stuft die Ausnutzung als weniger wahrscheinlich ein; keine öffentliche Offenlegung oder öffentlicher PoC gefunden.
• Der temporale Vektor von Microsoft markiert die Exploit-Reife als Unproven.

Unsere Empfehlung

• Das Kumulative Update vom November 2026 auf betroffenen Systemen installieren, wobei das erforderliche Servicing Stack Update zuerst angewendet wird.
• Geräte mit Windows 11 23H2 Enterprise und Education identifizieren; diese haben den Support am 10. Nov 2026 beendet und erhalten diese Korrektur nicht.
• Im regulären Update-Zyklus verteilen statt als Notfalländerung; der lokale Angriffsvektor und die Anforderung eines angemeldeten Kontos halten die Priorität tief.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-122162 msrc.microsoft.com
• CVE.org record CVE-2026-122162 www.cve.org
• KB5132061 Windows 11 security update support.microsoft.com
• Rapid7 Patch Tuesday November 2026 www.rapid7.com
• BleepingComputer Patch Tuesday November 2026 www.bleepingcomputer.com
• Windows release health message center learn.microsoft.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 16:42.