Windows kernel32.dll: Heap-basierter Pufferüberlauf ermöglicht lokale Rechteausweitung

Zusammenfassung

Ein Heap-basierter Pufferüberlauf in der Windows-Bibliothek kernel32.dll erlaubt einem Angreifer mit einem Konto mit niedrigen Rechten auf dem System, seine Rechte zu erweitern. Bei erfolgreicher Ausnutzung kann die volle Kontrolle über den betroffenen Host erlangt werden (CVSS 7.8 High, C:H/I:H/A:H). Die Schwachstelle ist nicht direkt aus dem Internet erreichbar, stellt aber einen gefährlichen zweiten Schritt nach Phishing oder Malware dar, besonders auf gemeinsam genutzten PCs, Terminal-Servern und Dateiservern mit mehreren Benutzern.

Betroffen

• Windows 10 Version 1607 (Geltungsbereich laut CPE; Builds 10.0.14393.0 bis unter 10.0.14393.9612)
• Windows 10 Version 1809, 21H2, 22H2
• Windows 11 Versionen 23H2, 24H2, 25H2, 26H1, 26H2
• Windows Server 2012, 2012 R2 und Server 2016 (inklusive Server-Core-Installationen)
• Geltungsbereich gemäss CNA-Eintrag; das CPE enthält nur Windows 10 1607. Alle Editionen im MSRC-Advisory prüfen.

Behoben in

• Windows 10 Version 1607 (und Windows Server 2016): Build 10.0.14393.9612, durch das Advisory des Herstellers bestätigt.
• Weitere im CNA-Eintrag genannte Builds (z. B. 1809: 10.0.17763.9376; 21H2/22H2: 10.0.19044.7807 / 10.0.19045.7807; 23H2: 10.0.22631.7652) sind auf der MSRC-Seite noch nicht bestätigt und vor dem Rollout zu prüfen.
• Für Windows 11 24H2 und Server 2025 existieren widersprüchliche Angaben; diese Builds gelten als unbestätigt.

Umgehung

Unbekannt. Es wurde keine Workaround des Herstellers gefunden. Das Sicherheitsupdate von Microsoft einspielen, das die verwundbare kernel32.dll ersetzt. Die Beschränkung lokaler Benutzerrechte (Least Privilege) senkt das Risiko, beseitigt es aber nicht.

Ausnutzung

• Ausnutzung in freier Wildbahn: keine Hinweise gefunden; CISA SSVC bewertet die Ausnutzung als none und die Automatisierbarkeit als no.
• Öffentlicher Proof-of-Concept: keiner gefunden.
• EPSS: 0.00341 (unter 1 %), ein Modellwert, der sich im Zeitverlauf ändert.

Unsere Empfehlung

• Das Microsoft-Update für CVE-2026-68836 auf allen betroffenen Windows-Systemen einspielen; Priorität haben Systeme mit mehreren Benutzern, Terminal- und RDS-Server sowie Dateiserver.
• Jedes Windows-10-1607-Gerät prüfen: Ob es noch Sicherheitsupdates erhält. Falls nicht, ersetzen oder isolieren.
• Lokale Konten und Administratorrechte auf das nötige Minimum beschränken.
• Bis zur vollständigen Patchung auf ungewöhnliche Rechteerweiterungen oder neue lokale Administratorkonten achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide: CVE-2026-68836 msrc.microsoft.com
• MSRC advisory (en-US) msrc.microsoft.com
• NVD data via OpenCVE app.opencve.io
• CNA data mirror (Vulners) vulners.com
• NVD record mirror (Vulners) vulners.com
• Microsoft advisory mirror (Vulners) vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 04:57.