Microsoft Windows: Winlogon-Rechteausweitung durch Heap-basierten Pufferüberlauf

Zusammenfassung

Ein Heap-basierter Pufferüberlauf in der Windows-Komponente Winlogon erlaubt einem lokal angemeldeten Angreifer mit niedrigen Berechtigungen eine Rechteausweitung. Bei erfolgreicher Ausnutzung kann der Angreifer die volle Kontrolle über das System erlangen, einschliesslich SYSTEM-Rechten. Der Angreifer benötigt ein bestehendes lokales Benutzerkonto, eine Ausnutzung aus der Ferne ist nicht möglich.

Betroffen

• Windows 11 23H2 vor 10.0.22631.7711
• Windows 11 24H2 vor 10.0.26100.9974
• Windows 11 25H2 vor 10.0.26200.9974
• Windows 11 26H1 vor 10.0.28000.3501
• Windows 11 26H2 vor 10.0.26300.9974
• Windows Server 2025 (inklusive Server-Core-Installation) vor 10.0.26100.33822

Behoben in

• Das Sicherheitsupdate von Microsoft vom November 2026 für die oben aufgeführten betroffenen Windows-Versionen installieren.
• Gemäss CVE-Eintrag korrigierte Builds: 10.0.22631.7711 (23H2), 10.0.26100.9974 (24H2), 10.0.26200.9974 (25H2), 10.0.28000.3501 (26H1), 10.0.26300.9974 (26H2), 10.0.26100.33822 (Server 2025).
• Die KB-Nummer ist nicht verifiziert; vor der Verteilung auf der MSRC-Seite prüfen.

Umgehung

Unbekannt. Es ist keine Umgehungsmassnahme dokumentiert, da ein Patch verfügbar ist.

Ausnutzung

• Der CVSS-Vektor von Microsoft setzt die Exploit-Reife auf Unproven (E:U), somit war zum Zeitpunkt der Veröffentlichung kein öffentlicher Exploit-Code bekannt.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Ein Drittanbieter berichtet, dass eine Schwachstelle aus der Veröffentlichung vom November 2026 aktiv ausgenutzt wurde. Es ist nicht bestätigt, dass es sich dabei um diese CVE handelt.

Unsere Empfehlung

• Das Sicherheitsupdate vom November 2026 auf allen betroffenen Windows-11- und Windows-Server-2025-Systemen im nächsten Wartungsfenster installieren, auf gemeinsam genutzten Arbeitsstationen sowie Remote-Desktop- oder Terminalservern früher.
• Die betroffenen und korrigierten Versionen vor dem Rollout auf der MSRC-Seite prüfen.
• Das Least-Privilege-Prinzip und Standardbenutzerkonten durchsetzen und die interaktive Anmeldung auf gemeinsam genutzten oder Kiosk-Geräten einschränken.
• Auf verdächtige Berechtigungsänderungen und unerwartete SYSTEM-Prozesse überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC advisory CVE-2026-83563 msrc.microsoft.com
• CVE Record CVE-2026-83563 www.cve.org
• Talos: Microsoft Patch Tuesday November 2026 blog.talosintelligence.com
• Qualys: Microsoft Patch Tuesday November 2026 review blog.qualys.com
• Strix CVE-2026-83563 (third party, unverified versions) www.strix.ai
• Trinety November 2026 Patch Tuesday (third party, KB unverified) trinetriops.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 03:23.