Microsoft Windows Overlay Filter: Rechteerweiterung durch Buffer Over-Read

Zusammenfassung

Ein Buffer Over-Read in der Komponente Windows Overlay Filter erlaubt einem Angreifer mit einem lokalen Konto mit niedrigen Rechten, seine Privilegien auf eine höhere Stufe zu erweitern. Der Angriff ist nur lokal möglich und benötigt gemäss CVSS-Vektor keine Benutzerinteraktion. Das Hauptrisiko besteht als zweiter Schritt, nachdem ein Angreifer bereits Code als normaler Benutzer ausgeführt hat, etwa über Phishing oder einen schädlichen Anhang.

Betroffen

• Windows 10 Version 1607: Builds 10.0.14393.0 bis unter 10.0.14393.9612
• Windows Server 2016: Builds 10.0.14393.0 bis unter 10.0.14393.9612
• Weitere vom CNA aufgeführte betroffene Produkte sind Windows 10 1809, 21H2, 22H2, Windows 11 23H2 bis 26H2 sowie Windows Server 2012 bis 2025 (genaue Builds siehe MSRC-Seite)

Behoben in

• Windows 10 Version 1607 und Windows Server 2016: Build 10.0.14393.9612 oder neuer
• Microsoft hat die Korrekturen am 13. Oktober 2026 veröffentlicht. KB-Nummern: Unbekannt. Bitte auf der MSRC-Seite prüfen.

Umgehung

Unbekannt. Es wurde kein vom Hersteller dokumentierter Workaround gefunden. Die Installation des Patches ist die Behebung.

Ausnutzung

• Nicht als aktiv ausgenutzt gelistet (CISA KEV: Nein, gemäss OpenCVE)
• EPSS unter 1 Prozent (sehr niedrig)
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total
• Bei unseren Recherchen wurde kein öffentlicher Proof of Concept gefunden; dies beweist aber nicht, dass keiner existiert
• Keine Berichte über Ausnutzung in freier Wildbahn gefunden

Unsere Empfehlung

• Systeme anhand der Build-Nummer inventarisieren, insbesondere Windows 10 1607 und Server 2016, und diese bei Vorhandensein als hohe Priorität behandeln
• Das kumulative Update vom Oktober 2026 auf betroffenen Hosts installieren und KB sowie Build auf der MSRC-Seite bestätigen
• Wo 1607 oder Server 2016 nicht gepatcht werden können oder nicht mehr unterstützt sind, Ersatz planen und lokale Anmeldungen sowie Code-Ausführung mit niedrigen Rechten einschränken
• Auf einen öffentlichen Proof of Concept oder die Aufnahme in den KEV-Katalog achten

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-69953 msrc.microsoft.com
• CVE record mirror (CNA JSON) via Vulners vulners.com
• Microsoft MSCVE record via Vulners vulners.com
• OpenCVE record (KEV and EPSS status) app.opencve.io
• Positive Technologies advisory PT-2026-112120 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 04:38.