Windows Media Foundation: Remote Code Execution durch Heap-basierten Pufferüberlauf

Zusammenfassung

Ein Heap-basierter Pufferüberlauf im Multimedia-Framework Windows Media Foundation erlaubt einem nicht authentifizierten Angreifer, über das Netzwerk Code auszuführen. Gemäss CVSS-Vektor sind weder Authentifizierung noch Benutzerinteraktion erforderlich. Das Advisory nennt nicht, welcher Dienst oder welcher Medienpfad erreichbar ist, daher hängt die Exponierung davon ab, ob die Medienverarbeitung aus dem Netzwerk des Angreifers erreichbar ist. CVSS 9.8 (kritisch); der Eintrag meldet keine bekannte Ausnutzung.

Betroffen

• Windows 10 Version 1607 und Windows Server 2016 (Builds 10.0.14393.0 bis unter 10.0.14393.9612)
• Windows 10 Version 1809 (Builds unter 10.0.17763.9376)
• Windows 10 Version 21H2 und 22H2 (Builds unter 10.0.19045.7807)
• Windows 11 Version 23H2 (Builds unter 10.0.22631.7652)
• Windows 11 Version 24H2 und 25H2 (Builds unter 10.0.26100.9711 und 10.0.26200.9711)
• Windows 11 Version 26H1 (Builds unter 10.0.28000.3231)
• Windows 11 Version 26H2 (Builds unter 10.0.26300.9711)
• Windows Server 2012 und 2012 R2 (Builds unter 6.2.9200.26434 und 6.3.9600.23470)
• Hinweis: Die Liste der betroffenen Produkte stammt aus dem CNA-Eintrag. Drittquellen widersprechen sich, und das MSRC-Advisory wurde nicht verifiziert.

Behoben in

• Korrigierte Builds gemäss CNA-Eintrag (gegen MSRC zu verifizieren): 10.0.14393.9612 (1607, Server 2016), 10.0.17763.9376 (1809), 10.0.19045.7807 (22H2), 10.0.22631.7652 (23H2), 10.0.26100.9711 (24H2), 10.0.26200.9711 (25H2), 10.0.28000.3231 (26H1), 10.0.26300.9711 (26H2), 6.2.9200.26434 (Server 2012), 6.3.9600.23470 (Server 2012 R2)
• Windows 10 1607 ist möglicherweise nicht mehr im Support; ob Microsoft dafür noch einen Patch bereitstellt, ist unbekannt.

Umgehung

• Keine veröffentlicht. Der CVE-Eintrag enthält keinen Workaround.
• Netzwerkexposition betroffener Systeme einschränken, bis das Update installiert ist.

Ausnutzung

• Nicht in der CISA-KEV-Liste.
• CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung total.
• EPSS 0.01084 (etwa 1.1%).
• Patch-Status-Tracker: Ausnutzung nein.
• Öffentlicher Proof of Concept: unbekannt; nicht gezielt gesucht.

Unsere Empfehlung

• Alle Windows 10 1607, Windows Server 2016 und weitere aufgeführte Systeme inventarisieren und im MSRC-Advisory den korrekten korrigierten Build prüfen.
• Das Microsoft-Update installieren, sobald der korrekte Build bestätigt ist; für Systeme ohne Patch-Support Ersatz planen.
• Netzwerkzugriff auf Systeme mit Medienverarbeitung einschränken und diese auf ungewöhnliche Abstürze oder Codeausführung überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-83517 msrc.microsoft.com
• Zero Day Initiative: The October 2026 Security Update Review www.zerodayinitiative.com
• OpenCVE: CVE-2026-83517 app.opencve.io
• Vulners NVD: CVE-2026-83517 vulners.com
• Senserva patch status: KB5126651 senserva.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 18:40.