Microsoft Windows HTTP.sys: Lesen ausserhalb des Speicherbereichs ermöglicht lokale Codeausführung

Zusammenfassung

Ein Lesezugriff ausserhalb des Speicherbereichs im Windows-Kerneltreiber HTTP.sys erlaubt einem berechtigten lokalen Angreifer die Ausführung von Code. Der Angreifer benötigt lokalen Zugriff und niedrige Berechtigungen, eine Benutzerinteraktion ist nicht erforderlich. Der Titel der Microsoft-Empfehlung nennt Remote Code Execution, die CVE-Beschreibung und der CVSS-Vektor (AV:L) beschreiben jedoch einen lokalen Angriff, daher ist der Angriffspfad auf MSRC zu prüfen. Microsoft hat Korrekturen für betroffene Versionen veröffentlicht.

Betroffen

• Windows 10 Version 1607: 10.0.14393.0 bis vor 10.0.14393.9612
• Windows 10 Version 1809: 10.0.17763.0 bis vor 10.0.17763.9376
• Windows 10 Version 21H2: 10.0.19044.0 bis vor 10.0.19044.7807
• Windows 10 Version 22H2: 10.0.19045.0 bis vor 10.0.19045.7807
• Windows 11 Version 23H2: 10.0.22631.0 bis vor 10.0.22631.7652
• Windows 11 Version 24H2: 10.0.26100.0 bis vor 10.0.26100.9711
• Windows 11 Version 25H2: 10.0.26200.0 bis vor 10.0.26200.9711
• Windows 11 Version 26H1: 10.0.28000.0 bis vor 10.0.28000.3231
• Windows 11 Version 26H2: 10.0.26300.0 bis vor 10.0.26300.9711
• Windows Server 2012 (inkl. Server Core): 6.2.9200.0 bis vor 6.2.9200.26434
• Windows Server 2012 R2 (inkl. Server Core): 6.3.9600.0 bis vor 6.3.9600.23470
• Windows Server 2016: 10.0.14393.0 bis vor 10.0.14393.9612

Behoben in

• Windows 10 1607 und Windows Server 2016: 10.0.14393.9612
• Windows 10 1809: 10.0.17763.9376
• Windows 10 21H2: 10.0.19044.7807
• Windows 10 22H2: 10.0.19045.7807
• Windows 11 23H2: 10.0.22631.7652
• Windows 11 24H2, 25H2 und 26H2: 10.0.26100.9711 / 10.0.26200.9711 / 10.0.26300.9711
• Windows 11 26H1: 10.0.28000.3231
• Windows Server 2012: 6.2.9200.26434
• Windows Server 2012 R2: 6.3.9600.23470

Quelle: CNA-Eintrag. Vor dem Rollout die vollständige Liste auf MSRC prüfen.

Umgehung

Unbekannt. In den verfügbaren Quellen ist kein Workaround bestätigt; das Microsoft-Update installieren.

Ausnutzung

In den Research-Notizen (Stand 2. Nov 2026) wurde keine Ausnutzung und kein öffentlicher Proof of Concept gefunden. CISA SSVC: Exploitation none, Automatable no, Technical Impact total.

Unsere Empfehlung

• Alle Windows-Systeme inventarisieren, inklusive Windows 10 1607, 1809, 21H2, 22H2 und Windows-Server-Versionen, nicht nur das im CPE genannte Produkt.
• Das Microsoft-Sicherheitsupdate für jede betroffene Version so rasch wie möglich installieren und die installierte Build-Nummer prüfen.
• Prüfen, ob Windows 10 1607 LTSB noch unterstützt wird, und bei Bedarf eine Migration planen (Microsoft-Lifecycle-Seite prüfen).
• Lokale Anmeldungen einschränken und Konten mit niedrigen Berechtigungen auf Servern mit IIS oder anderen HTTP.sys-basierten Diensten begrenzen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-70247 msrc.microsoft.com
• Vulners: CNA record CVELIST:CVE-2026-70247 vulners.com
• Vulners: NVD record CVE-2026-70247 vulners.com
• OpenCVE: CVE-2026-70247 app.opencve.io
• Strix: CVE-2026-70247 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 03:55.