Microsoft Windows libarchive: Heap-basierter Pufferüberlauf ermöglicht Remote Code Execution

Zusammenfassung

Ein heap-basierter Pufferüberlauf in der libarchive-Komponente von Windows ermöglicht einem nicht authentifizierten Angreifer aus dem Netzwerk, Code auszuführen. Für den Angriff ist eine Benutzerinteraktion erforderlich (UI:R im CVSS-Vektor), zum Beispiel das Öffnen eines präparierten Archivs. Ob ein Windows-Netzwerkdienst Archive automatisch verarbeitet, ist unbekannt.

Betroffen

• Windows 10 Version 1809 und Windows Server 2019 (inklusive Server Core): Builds 10.0.17763.0 bis unter 10.0.17763.9376
• Windows 10 Version 21H2: Builds 10.0.19044.0 bis unter 10.0.19044.7807
• Windows 10 Version 22H2: Builds 10.0.19045.0 bis unter 10.0.19045.7807
• Windows 11 Version 23H2: Builds 10.0.22631.0 bis unter 10.0.22631.7652
• Windows 11 Version 24H2 und 25H2, Windows 11 Version 26H1 und 26H2: genaue Builds siehe Herstellerhinweis
• Windows Server 2022: Builds 10.0.20348.0 bis unter 10.0.20348.5761
• Windows Server 2025 (inklusive Server Core): Builds 10.0.26100.0 bis unter 10.0.26100.33650

Behoben in

• Oktober-2026-Sicherheitsupdate von Windows für die jeweilige Edition installieren (für Windows 10 1809 und Server 2019 nennt eine Drittquelle KB5126651; im MSRC-Hinweis prüfen)
• Korrigierte Builds: 10.0.17763.9376 (1809, Server 2019), 10.0.19044.7807 (21H2), 10.0.19045.7807 (22H2), 10.0.20348.5761 (Server 2022), 10.0.22631.7652 (23H2), 10.0.26100.9711 (24H2), 10.0.26100.33650 (Server 2025)
• Nach der Installation neu starten

Umgehung

• Unbekannt. Der Hersteller hat in den geprüften Quellen keine Workaround veröffentlicht.
• Falls kein Patch installiert werden kann, empfiehlt eine Drittquelle, die Verarbeitung nicht vertrauenswürdiger Archive durch die betroffene Komponente zu blockieren oder einzuschränken; die vollständigen Schritte konnten nicht verifiziert werden.

Ausnutzung

• CISA SSVC: Ausnutzung keine, nicht automatisierbar, technische Auswirkung total
• Microsoft: nicht öffentlich bekannt, nicht ausgenutzt, Reifegrad des Exploit-Codes Unproven
• Nicht im CISA-KEV-Katalog enthalten
• Bei den durchgeführten Recherchen wurde kein öffentlicher Proof of Concept gefunden; dies ist keine Bestätigung der Abwesenheit
• EPSS unter 1 Prozent

Unsere Empfehlung

• Alle Windows-10-1809-, Windows-Server-2019- und weitere betroffene Systeme identifizieren und das Oktober-2026-Sicherheitsupdate im regulären Patch-Zyklus installieren.
• Dateiserver und Hosts priorisieren, die Archive aus E-Mails, Web-Downloads oder externen Quellen erhalten.
• Bei verzögertem Patchen die Verarbeitung nicht vertrauenswürdiger Archive einschränken und überwachen.
• Supportstatus von Windows 10 1809 (zum Beispiel LTSC) prüfen und Upgrades planen.
• Die korrekte CVE-ID verfolgen; CVE-2026-69639 ist ein ähnlich benanntes libarchive-Problem mit abweichendem Score.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-69985 msrc.microsoft.com
• OpenCVE: CVE-2026-69985 app.opencve.io
• Vulners NVD: CVE-2026-69985 vulners.com
• Vulners Vulnrichment: CVE-2026-69985 vulners.com
• Tenable Nessus plugin 365475 www.tenable.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 19:02.