Windows PowerShell: Ganzzahlüberlauf ermöglicht lokale Code-Ausführung

Zusammenfassung

Ein Ganzzahlüberlauf (CWE-190) mit möglichem Heap-basiertem Pufferüberlauf (CWE-122) in Windows PowerShell betrifft Windows 11 23H2, 24H2, 25H2, 26H1 und 26H2 sowie Windows Server 2022 und 2025. Ein berechtigter lokaler Benutzer mit niedrigen Rechten kann Code mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit ausführen. Der Angriff erfordert lokalen Zugriff und keine Benutzerinteraktion, weshalb das Risiko vor allem kompromittierte Konten, böswillige Insider oder bereits auf einem System laufende Schadsoftware betrifft. Der Titel von Microsoft nennt Remote Code Execution, der CVSS-Vektor ist jedoch lokal (AV:L), weshalb der lokale Vektor massgebend ist.

Betroffen

• Windows 11 Version 23H2: 10.0.22631.0 bis vor 10.0.22631.7652
• Windows 11 Version 24H2: 10.0.26100.0 bis vor 10.0.26100.9711
• Windows 11 Version 25H2: 10.0.26200.0 bis vor 10.0.26200.9711
• Windows 11 Version 26H1: 10.0.28000.0 bis vor 10.0.28000.3231
• Windows 11 Version 26H2: 10.0.26300.0 bis vor 10.0.26300.9711
• Windows Server 2022: 10.0.20348.0 bis vor 10.0.20348.5761
• Windows Server 2025 (inklusive Server Core): 10.0.26100.0 bis vor 10.0.26100.33650

Behoben in

• Windows 11 Version 23H2: 10.0.22631.7652 oder neuer
• Windows 11 Version 24H2: 10.0.26100.9711 oder neuer
• Windows 11 Version 25H2: 10.0.26200.9711 oder neuer
• Windows 11 Version 26H1: 10.0.28000.3231 oder neuer
• Windows 11 Version 26H2: 10.0.26300.9711 oder neuer
• Windows Server 2022: 10.0.20348.5761 oder neuer
• Windows Server 2025: 10.0.26100.33650 oder neuer

Die Angaben zu den korrigierten Versionen stammen aus dem CNA-Eintrag und sollten anhand des MSRC-Advisory überprüft werden.

Umgehung

Unbekannt. Microsoft hat keine Workaround veröffentlicht. Die Installation des kumulativen Updates vom Oktober 2026 ist die Behebung.

• Nur als zusätzliche Absicherung, nicht von Microsoft: Skriptausführung mit einer restriktiven Ausführungsrichtlinie einschränken und nicht autorisierte Skripte mit AppLocker oder Windows Defender Exploit Guard blockieren.

Ausnutzung

• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Laut den Research-Notizen nicht im CISA-KEV-Katalog aufgeführt.
• VulDB gibt an, dass kein Exploit existiert.
• Bei der Recherche wurde kein öffentlicher Proof of Concept und keine Ausnutzung in freier Wildbahn gefunden. Dies ist kein Nachweis der Abwesenheit.

Unsere Empfehlung

• Das kumulative Update vom Oktober 2026 auf allen betroffenen Windows-11- und Windows-Server-Systemen installieren, zuerst auf gemeinsam genutzten Admin-Arbeitsplätzen und Terminal-Servern.
• Bis zur Behebung die Ausführung von PowerShell-Skripten per Richtlinie und AppLocker einschränken, sofern betrieblich möglich.
• Lokale Konten und Berechtigungen prüfen und administrative Rechte auf das Nötige beschränken.
• PowerShell-Protokollierung (Script Block Logging) auf ungewöhnliche lokale Skriptausführungen überwachen.
• Die korrigierten Build-Nummern vor dem Rollout anhand des MSRC-Advisory überprüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-70052 msrc.microsoft.com
• NVD-mirrored CVE data (OpenCVE) app.opencve.io
• Affected builds (Strix) www.strix.ai
• VulDB entry vuldb.com
• NVD record mirror (Vulners) vulners.com
• CNA record mirror (Vulners) vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 04:31.