Windows Image Acquisition: Double Free führt zu Remote Code Execution

Zusammenfassung

Eine Double-Free-Schwachstelle (CWE-415) in der Komponente Windows Image Acquisition (WIA) erlaubt einem nicht autorisierten Angreifer, über das Netzwerk Code auszuführen. Laut CVSS-Vektor sind hohe Angriffskomplexität und Benutzerinteraktion erforderlich. Ob WIA ohne Benutzeraktion über das Netzwerk erreichbar ist, ist auf typischen Systemen noch nicht bestätigt, weshalb die tatsächliche Exposition unsicher ist.

Betroffen

• Windows 10 Version 1607 (Builds 10.0.14393.0 bis vor 10.0.14393.9688)
• Windows 10 Version 1809 (Builds 10.0.17763.0 bis vor 10.0.17763.9487)
• Windows 10 Version 21H2 (Builds 10.0.19044.0 bis vor 10.0.19044.7846)
• Windows 10 Version 22H2 (Builds 10.0.19045.0 bis vor 10.0.19045.7846)
• Windows 11 Version 23H2 (Builds 10.0.22631.0 bis vor 10.0.22631.7711)
• Windows 11 Version 24H2 (Builds 10.0.26100.0 bis vor 10.0.26100.9974)
• Windows 11 Version 25H2 (Builds 10.0.26200.0 bis vor 10.0.26200.9974)
• Windows 11 Version 26H1 (Builds 10.0.28000.0 bis vor 10.0.28000.3501)
• Windows 11 Version 26H2 (Builds 10.0.26300.0 bis vor 10.0.26300.9974)
• Windows Server 2016 inkl. Server Core (Builds 10.0.14393.0 bis vor 10.0.14393.9688)
• Windows Server 2019 inkl. Server Core (Builds 10.0.17763.0 bis vor 10.0.17763.9487)
• Windows Server 2022 (Builds 10.0.20348.0 bis vor 10.0.20348.5870)

Behoben in

• Installieren Sie das Windows-Update, das den Build auf die im CNA-Eintrag genannte Fixversion oder darüber bringt: 10.0.14393.9688, 10.0.17763.9487, 10.0.19044.7846, 10.0.19045.7846, 10.0.22631.7711, 10.0.26100.9974, 10.0.26200.9974, 10.0.28000.3501, 10.0.26300.9974, 10.0.20348.5870.
• KB-Nummern der Updates vom November 2026 sind für diese CVE nicht bestätigt. Prüfen Sie sie im MSRC-Advisory vor der Verteilung.

Umgehung

• Keine Herstellermassnahme identifiziert. Das Einspielen des Patches ist die einzige bestätigte Behebung.
• Nicht verifizierte Option: Falls WIA auf einem Host nicht benötigt wird, kann das Deaktivieren des Dienstes Windows Image Acquisition (StiSvc) die Exposition verringern. Vorher testen und mit den MSRC-Hinweisen abgleichen.
• Netzwerkzugriff auf betroffene Hosts einschränken, insbesondere auf Server, und nicht vertrauenswürdigen eingehenden Verkehr an der Perimeter-Firewall blockieren.

Ausnutzung

• Unbekannt. Zum Zeitpunkt der Recherche wurden kein öffentlicher Proof of Concept, kein Eintrag im CISA-KEV-Katalog und keine Herstellerangabe zur Ausnutzung gefunden.
• CISA-SSVC-Bewertung: keine Ausnutzung, nicht automatisierbar, totale technische Auswirkung.

Unsere Empfehlung

• Die Behebung im Update-Zyklus vom November 2026 einplanen und Server sowie Arbeitsstationen priorisieren, die extern bezogene Dateien oder Eingaben von Scannern und Kameras verarbeiten.
• Prüfen, ob noch Windows-10-Systeme im Einsatz sind, und deren Support- und ESU-Status kontrollieren.
• Netzwerkerreichbarkeit betroffener Hosts einschränken und diese auf ungewöhnliche Aktivitäten überwachen.
• Fixversionen und KB-Nummern im MSRC-Advisory bestätigen und nach der Veröffentlichung auf Berichte zur Ausnutzung achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Response Center: CVE-2026-122163 advisory msrc.microsoft.com
• CVE Record CVE-2026-122163 (CNA: Microsoft) www.cve.org
• Strix CVE-2026-122163 (secondary, unverified) www.strix.ai
• Action1 Patch Tuesday November 2026 roundup www.action1.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 05:20.