Microsoft Windows: Lokale Rechteerweiterung durch Integer-Überlauf im Overlay Filter

Zusammenfassung

Microsoft Windows enthält in der Komponente Windows Overlay Filter einen Integer-Überlauf oder Wraparound. Ein berechtigter lokaler Angreifer mit niedrigen Rechten kann diesen ausnutzen, um seine Rechte zu erweitern, was zur vollständigen Kontrolle über das betroffene System führen kann. Es ist keine Benutzerinteraktion erforderlich, der Angreifer benötigt jedoch ein bestehendes lokales Benutzerkonto oder einen anderen Zugang. Microsoft und NVD stufen die Schwere als hoch ein (CVSS 3.1 7.8).

Betroffen

• Windows 10 Version 1607: vor 10.0.14393.9612
• Windows Server 2016: vor 10.0.14393.9612
• Windows 10 Version 1809: vor 10.0.17763.9376
• Windows Server 2019: vor 10.0.17763.9376 (Build gemäss CNA-Daten, siehe Recherchenotizen)
• Windows 10 Version 21H2: vor 10.0.19044.7807
• Windows 10 Version 22H2: vor 10.0.19045.7807
• Windows 11 Version 23H2: vor 10.0.22631.7652
• Windows 11 Version 24H2: vor 10.0.26100.9711
• Windows 11 Version 25H2: vor 10.0.26200.9711
• Windows 11 Version 26H1: vor 10.0.28000.3231
• Windows 11 Version 26H2: vor 10.0.26300.9711
• Windows Server 2012 (inklusive Server Core): vor 6.2.9200.26434
• Windows Server 2012 R2 (inklusive Server Core): vor 6.3.9600.23470
• Windows Server 2025: 10.0.26100.33650 (Build gemäss CNA-Daten, siehe Recherchenotizen)

Behoben in

• Windows 10 Version 1607 und Windows Server 2016: Build 10.0.14393.9612 oder neuer
• Windows 10 Version 1809 und Windows Server 2019: Build 10.0.17763.9376 oder neuer
• Windows 10 Version 21H2: Build 10.0.19044.7807 oder neuer
• Windows 10 Version 22H2: Build 10.0.19045.7807 oder neuer
• Windows 11 Version 23H2: Build 10.0.22631.7652 oder neuer
• Windows 11 Version 24H2: Build 10.0.26100.9711 oder neuer
• Windows 11 Version 25H2: Build 10.0.26200.9711 oder neuer
• Windows Server 2025: Build 10.0.26100.33650 oder neuer
• KB-Nummern pro Build: Unbekannt. Diese im Microsoft Security Update Guide bestätigen.

Umgehung

Unbekannt. Der abgerufene Microsoft-Advisory-Inhalt nennt keinen Workaround.

• Nicht verifizierte allgemeine Härtung: Einschränken, welche lokalen Benutzer die betroffene Komponente ausführen oder laden können, zum Beispiel mit dem Least-Privilege-Prinzip oder AppLocker. Dies ist nicht durch Microsoft bestätigt.

Ausnutzung

• In den konsultierten Quellen wurde kein Hinweis auf Ausnutzung in freier Wildbahn gefunden.
• Es wurde kein öffentlicher Proof of Concept gefunden.
• EPSS: 0.00341.
• CISA-SSVC-Bewertung: Exploitation none, Automatable no, Technical Impact total.
• Der Status im CISA-KEV-Katalog wurde nicht überprüft.

Unsere Empfehlung

• Das Sicherheitsupdate für jeden betroffenen Build so rasch wie möglich installieren, zuerst auf Mehrbenutzer-Servern, Terminal-Servern und gemeinsam genutzten PCs.
• Ein vollständiges Inventar erstellen, inklusive älterer Windows-10-1607- und Windows-Server-2016-Systeme, die leicht übersehen werden.
• Vor dem Rollout die KB-Nummer für jeden Build im Microsoft Security Update Guide bestätigen.
• Vor dem Schliessen des Tickets den CISA-KEV-Katalog prüfen und auf Berichte über Ausnutzung achten.
• Lokale Konten einschränken und unbekannte lokale Anmeldungen auf betroffenen Systemen bis zur Installation des Updates begrenzen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-69957 msrc.microsoft.com
• CVE List (CNA JSON) via Vulners vulners.com
• Microsoft MSCVE record via Vulners vulners.com
• NVD record mirror via Vulners vulners.com
• Rapid7 record via Vulners (EPSS) vulners.com
• OpenCVE record app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 04:35.