Windows: Buffer-Over-Read im Windows Overlay Filter ermöglicht lokale Codeausführung

Zusammenfassung

Ein Buffer-Over-Read (CWE-126) in der Komponente Windows Overlay Filter betrifft Windows 11 (23H2, 24H2, 25H2, 26H1, 26H2) sowie Windows Server 2022 und 2025. Ein Angreifer, der bereits ein lokales Konto mit niedrigen Berechtigungen oder einen lokalen Zugriffspunkt besitzt, kann Code mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit ausführen, ohne dass eine Benutzerinteraktion nötig ist. Der Titel des Microsoft-Eintrags nennt "Remote Code Execution", der CVSS-Vektor ist jedoch lokal (AV:L), weshalb dies hier als lokales Problem behandelt wird. Gemeinsam genutzte und Mehrbenutzer-Windows-Systeme sowie Terminal-Server sind am stärksten gefährdet.

Betroffen

• Windows 11 23H2: Builds 10.0.22631.0 bis vor 10.0.22631.7652
• Windows 11 24H2: Builds 10.0.26100.0 bis vor 10.0.26100.9711
• Windows 11 25H2: Builds 10.0.26200.0 bis vor 10.0.26200.9711
• Windows 11 26H1: Builds 10.0.28000.0 bis vor 10.0.28000.3231
• Windows 11 26H2: Builds 10.0.26300.0 bis vor 10.0.26300.9711
• Windows Server 2022: Builds 10.0.20348.0 bis vor 10.0.20348.5761
• Windows Server 2025 (inklusive Server Core): Builds 10.0.26100.0 bis vor 10.0.26100.33650

Behoben in

• Windows 11 23H2: 10.0.22631.7652 oder neuer
• Windows 11 24H2: 10.0.26100.9711 oder neuer
• Windows 11 25H2: 10.0.26200.9711 oder neuer
• Windows 11 26H1: 10.0.28000.3231 oder neuer
• Windows 11 26H2: 10.0.26300.9711 oder neuer
• Windows Server 2022: 10.0.20348.5761 oder neuer
• Windows Server 2025: 10.0.26100.33650 oder neuer

KB-Nummern pro Build: KB5126653 (Windows 11 23H2) und KB5126646 (Windows Server 2025) gemäss Drittanbieter-Auflistungen; auf der MSRC-Seite überprüfen. Für die übrigen Editionen wurden keine KB-Nummern gefunden.

Umgehung

Unbekannt. Es wurde keine Workaround- oder Mitigationsmassnahme gefunden; die offizielle Korrektur ist die Massnahme.

Ausnutzung

• Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
• Stand 23. Okt. 2026 nicht im CISA-KEV-Katalog aufgeführt.
• Kein öffentlicher Proof of Concept gefunden.
• MSRC stuft die Reife des Exploit-Codes als Unproven ein.
• Der EPSS-Wert liegt bei etwa 0.003 (etwa 0.3% innerhalb von 30 Tagen).
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.

Unsere Empfehlung

• Das kumulative Update vom Oktober 2026 auf allen betroffenen Windows-11- und Windows-Server-Systemen installieren, zuerst gemeinsam genutzte, Mehrbenutzer- und Terminal-Server.
• Nach der Verteilung die installierte Build-Nummer mit den korrigierten Versionen vergleichen.
• Falls das Patchen verzögert wird, die lokale Anmeldung auf vertrauenswürdige Benutzer beschränken und auf ungewöhnliche lokale Codeausführung überwachen.
• Für Einzelbenutzer-Endgeräte ohne bestehende Kompromittierung geringere Priorität, dennoch als Standard-Patch behandeln.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-69942 msrc.microsoft.com
• Vulners NVD record CVE-2026-69942 vulners.com
• OpenCVE CVE-2026-69942 app.opencve.io
• Strix CVE-2026-69942 www.strix.ai
• Vulners Rapid7 record CVE-2026-69942 vulners.com
• Vulners PT-2026-112113 (original report) vulners.com
• IMFHT CVE intel CVE-2026-69942 cve.imfht.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 04:41.