Microsoft COM for Windows: Heap-based Buffer Overflow ermöglicht lokale Rechteausweitung

Zusammenfassung

Ein Heap-based Buffer Overflow in Microsoft COM for Windows erlaubt einem berechtigten lokalen Angreifer, seine Rechte auf dem betroffenen Windows-System zu erweitern. Der Angreifer benötigt ein bestehendes lokales Konto mit niedrigen Rechten und kann die Schwachstelle nicht direkt aus dem Internet ausnutzen. Bei erfolgreicher Ausnutzung könnte er die volle Kontrolle über Vertraulichkeit, Integrität und Verfügbarkeit des Hosts erlangen.

Betroffen

• Windows 10 Version 1607 (Server 2016 ebenfalls aufgeführt): Builds 10.0.14393.0 bis unter 10.0.14393.9612
• Windows 10 Version 1809: Builds unter 10.0.17763.9376
• Windows 10 Version 21H2 und 22H2: Builds unter 10.0.19044.7807 bzw. 10.0.19045.7807 (Quellen widersprechen sich, in MSRC prüfen)
• Windows 11 Version 23H2, 24H2, 25H2, 26H1 und 26H2: verschiedene Builds unterhalb der von Microsoft genannten Fixversionen
• Windows Server 2012 und 2012 R2: Builds unter 6.2.9200.26434 bzw. 6.3.9600.23470
• Windows Server 2016: Builds unter 10.0.14393.9612
• Windows Server 2019, 2022 und 2025 sind in einigen Quellen ebenfalls aufgeführt; im MSRC-Eintrag prüfen

Behoben in

• Das Microsoft-Sicherheitsupdate vom 13. Oktober 2026 für die jeweilige Windows-Version installieren, das die im MSRC-Eintrag genannten Fixbuilds enthält.
• Windows 10 1607: Build 10.0.14393.9612 oder neuer.
• Windows 10 1809: Build 10.0.17763.9376 oder neuer.

Umgehung

• Unbekannt. Es ist kein Workaround des Herstellers dokumentiert; die Installation des Updates ist die Abhilfe.

Ausnutzung

• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Nicht im CISA-KEV-Katalog aufgeführt.
• EPSS ist niedrig (etwa 0,3 %).
• Kein öffentlicher Proof of Concept gefunden; keine bekannte Ausnutzung in freier Wildbahn.

Unsere Empfehlung

• Das Windows-Sicherheitsupdate vom 13. Oktober 2026 auf allen betroffenen Systemen installieren und danach neu starten.
• Gemeinsam genutzte PCs, Terminal- bzw. RDS-Hosts und Server, auf denen sich Benutzer lokal anmelden, priorisieren.
• Prüfen, ob noch Systeme mit Windows 10 1607 laufen und ob diese noch unterstützt werden; bei fehlender Unterstützung eine Migration planen.
• Lokale Anmeldungen einschränken und die Ausführung von Code auf Mehrbenutzersystemen begrenzen, bis der Patch eingespielt ist.
• Sicherstellen, dass jedes System den im MSRC Security Update Guide genannten Fixbuild erreicht.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-69909 msrc.microsoft.com
• Microsoft Windows 10 1607 update KB5126868 support.microsoft.com
• NVD/Vulners listing of affected ranges vulners.com
• OpenCVE CVE-2026-69909 app.opencve.io
• Positive Technologies advisory PT-2026-112099 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 04:44.