Microsoft Windows IIS: Heap-basierter Pufferüberlauf erlaubt lokale Rechteerweiterung

Zusammenfassung

Ein heap-basierter Pufferüberlauf in Microsoft Windows Internet Information Services (IIS) erlaubt einem berechtigten lokalen Angreifer, seine Rechte zu erweitern. Der Angreifer benötigt einen gültigen Zugang mit niedrigen Rechten auf dem System, beispielsweise über ein kompromittiertes Benutzerkonto oder Schadsoftware. Ein erfolgreicher Angriff kann zur vollständigen Kompromittierung von Vertraulichkeit, Integrität und Verfügbarkeit des betroffenen Hosts führen. Die Schwachstelle ist für sich allein nicht aus der Ferne ausnutzbar.

Betroffen

• Windows 10 Version 1607 (Builds vor 10.0.14393.9612)
• Windows 10 Version 1809 (Builds vor 10.0.17763.9376)
• Windows 10 Version 21H2 (Builds vor 10.0.19044.7807)
• Windows 10 Version 22H2 (Builds vor 10.0.19045.7807)
• Windows 11 Version 23H2 (Builds vor 10.0.22631.7652)
• Windows 11 Version 24H2 (Builds vor 10.0.26100.9711)
• Windows 11 Version 25H2 und 26H2 (Builds vor 10.0.26200.9711 bzw. 10.0.26300.9711)
• Windows 11 Version 26H1 (Builds vor 10.0.28000.3231)
• Windows Server 2012 und 2012 R2 (Builds vor 6.2.9200.26434 bzw. 6.3.9600.23470)
• Windows Server 2016 (Builds vor 10.0.14393.9612)
• Hinweis: Die CPE in der Eingabe listet nur Windows 10 1607; der CVE-Eintrag umfasst die oben genannten Produkte.

Behoben in

• Installieren Sie die Sicherheitsupdates von Oktober 2026 von Microsoft.
• Windows 10 1607 / Windows Server 2016: 10.0.14393.9612
• Windows 10 1809 / Server 2019: 10.0.17763.9376 (KB5126651 laut einer Drittquelle)
• Windows 10 21H2: 10.0.19044.7807
• Windows 10 22H2: 10.0.19045.7807
• Windows 11 23H2: 10.0.22631.7652 (nicht mit MSRC verifiziert)
• Windows 11 24H2: 10.0.26100.9711 (nicht mit MSRC verifiziert)
• Die KB-Nummer für Windows 10 1607 ist unbekannt; prüfen Sie den MSRC Update Guide.

Umgehung

Unbekannt. In den Quellen wurde keine Workaround- oder Mitigationsmassnahme gefunden. Das Installieren des Updates ist die empfohlene Behebung.

Ausnutzung

• Nicht bekanntermassen in freier Wildbahn ausgenutzt.
• Nicht im KEV-Katalog der CISA aufgeführt.
• CISA SSVC: Ausnutzung none, nicht automatisierbar, totale technische Auswirkung.
• EPSS-Wert: 0.00364 (sehr niedrig).
• Kein öffentlicher Proof of Concept gefunden; dies beweist jedoch nicht, dass keiner existiert.

Unsere Empfehlung

• Installieren Sie die Sicherheitsupdates von Oktober 2026 auf allen betroffenen Windows-Systemen, zuerst auf Servern mit IIS und auf Systemen mit mehreren Benutzern.
• Prüfen Sie, ob noch Windows-10-1607-Systeme im Einsatz sind; diese Version wird in den meisten Editionen nicht mehr gepflegt, daher bestätigen Sie die Patch-Verfügbarkeit für Ihre Edition oder ersetzen Sie das System.
• Beschränken Sie lokale Konten und Anmelderechte auf Servern mit IIS.
• Überwachen Sie Hosts mit IIS auf ungewöhnliche Versuche zur lokalen Rechteerweiterung.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-78459 msrc.microsoft.com
• OpenCVE: CVE-2026-78459 app.opencve.io
• Vulners: CVE-2026-78459 vulners.com
• Strix: CVE-2026-78459 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 03:44.