Microsoft Windows GDI: Remote Code Execution durch heap-basierten Pufferüberlauf

Zusammenfassung

Ein heap-basierter Pufferüberlauf in der Windows Graphics Device Interface (GDI) erlaubt einem nicht authentifizierten Angreifer aus dem Netzwerk, Code auszuführen. Für die Ausnutzung ist eine Benutzerinteraktion erforderlich, der genaue Auslöser wird in den Quellen nicht beschrieben. Bei erfolgreicher Ausnutzung könnte der Angreifer die volle Kontrolle über das betroffene System erlangen, da die CVSS-Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit hoch sind.

Betroffen

• Windows 10 Version 1607: vor 10.0.14393.9612
• Windows 10 Version 1809: vor 10.0.17763.9376
• Windows 10 Version 21H2: vor 10.0.19044.7807
• Windows 10 Version 22H2: vor 10.0.19045.7807
• Windows 11 Version 23H2: vor 10.0.22631.7652
• Windows 11 Version 24H2: vor 10.0.26100.9711
• Windows 11 Version 25H2: vor 10.0.26200.9711
• Windows 11 Version 26H1: vor 10.0.28000.3231
• Windows 11 Version 26H2: vor 10.0.26300.9711
• Windows Server 2012 und 2012 R2 (inklusive Server Core): vor 6.2.9200.26434 bzw. 6.3.9600.23470
• Windows Server 2016: vor 10.0.14393.9612

Behoben in

Das Microsoft-Sicherheitsupdate für CVE-2026-70089 für die jeweilige Windows-Version installieren. Die genaue KB-Nummer für Windows 10 Version 1607 ist unbekannt und muss dem MSRC-Advisory entnommen werden. Bekannt: Windows 10 Version 21H2 verwendet KB5126657, Windows Server 2025 verwendet KB5126646, Windows 10 1809 und Server 2019 verwenden KB5126651.

Umgehung

Unbekannt. In den Quellen wurde keine Workaround- oder Mitigationsmassnahme gefunden.

Ausnutzung

• CISA SSVC: Exploitation none, Automatable no, Technical Impact total
• Nicht im CISA-KEV-Katalog aufgeführt
• Microsoft kennzeichnet die Schwachstelle nicht als ausgenutzt
• EPSS-Score 0.00837
• Kein öffentlicher Proof of Concept gefunden, was jedoch nicht beweist, dass keiner existiert

Unsere Empfehlung

• Alle Systeme mit den aufgeführten Windows-Versionen identifizieren, insbesondere Windows 10 1607, 1809 sowie Windows Server 2012, 2012 R2 und 2016
• Supportstatus von Windows 10 1607 prüfen und bei abgelaufenem Support eine Migration planen
• Das Sicherheitsupdate vom Oktober 2026 prioritär installieren und die korrekte KB-Nummer dem MSRC-Update-Guide entnehmen
• Exposition ungepatchter Systeme einschränken und Benutzer schulen, keine unbekannten Dateien oder Inhalte zu öffnen
• Endgeräte bis zur vollständigen Patchung auf ungewöhnliche Prozessaktivitäten überwachen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-70089 msrc.microsoft.com
• NVD record mirrored on Vulners vulners.com
• Microsoft CVE record mirrored on Vulners vulners.com
• Strix CVE overview www.strix.ai
• OpenCVE entry app.opencve.io
• Senserva KB 5126657 senserva.com
• Rapid7 record on Vulners vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 18:57.