Windows USB Driver: Heap-basierter Pufferüberlauf ermöglicht lokale Rechteausweitung

Zusammenfassung

Ein heap-basierter Pufferüberlauf (CWE-122) im Windows USB Driver betrifft zahlreiche Versionen von Windows 10, Windows 11 und Windows Server, darunter Windows 10 Version 1607 und Windows Server 2016. Ein Angreifer mit einem lokalen Konto mit niedrigen Rechten kann die Schwachstelle ausnutzen, um höhere Rechte bis hin zu SYSTEM zu erlangen. Eine Ausnutzung aus der Ferne ist nicht möglich; der Angreifer benötigt zuvor lokalen Zugriff, zum Beispiel nach einem Phishing-Angriff oder einer Malware-Infektion.

Betroffen

• Windows 10 Version 1607 (vor 10.0.14393.9612)
• Windows 10 Version 1809 (vor 10.0.17763.9376)
• Windows 10 Version 21H2 (vor 10.0.19044.7807)
• Windows 10 Version 22H2 (vor 10.0.19045.7807)
• Windows 11 Version 23H2 (vor 10.0.22631.7652)
• Windows 11 Version 24H2 (vor 10.0.26100.9711)
• Windows 11 Version 25H2 (vor 10.0.26200.9711)
• Windows 11 Version 26H1 (vor 10.0.28000.3231)
• Windows 11 Version 26H2 (vor 10.0.26300.9711)
• Windows Server 2012 und 2012 R2 (vor 6.2.9200.26434 beziehungsweise 6.3.9600.23470)
• Windows Server 2016 (vor 10.0.14393.9612)

Behoben in

• Windows 10 Version 1607 und Windows Server 2016: 10.0.14393.9612
• Windows 10 Version 1809: 10.0.17763.9376
• Windows 10 Version 21H2: 10.0.19044.7807
• Windows 10 Version 22H2: 10.0.19045.7807
• Windows 11 Version 23H2: 10.0.22631.7652
• Windows 11 Version 24H2, 25H2 und 26H2: 10.0.26100.9711 beziehungsweise 10.0.26200.9711 beziehungsweise 10.0.26300.9711
• Windows 11 Version 26H1: 10.0.28000.3231
• Windows Server 2012 und 2012 R2: Die fixen Builds sind dem MSRC-Advisory zu entnehmen

Umgehung

Unbekannt.

• In den geprüften Quellen wurde kein vom Hersteller veröffentlichter Workaround gefunden.
• Das MSRC-Advisory auf eine offizielle Massnahme prüfen.

Ausnutzung

• Nicht im Katalog der CISA KEV aufgeführt; keine bekannte Ausnutzung in freier Wildbahn.
• EPSS-Wert unter 1 Prozent (sehr tief).
• CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
• Bei den durchgeführten Recherchen wurde kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Alle Windows 10 Version 1607- und Windows Server 2016-Systeme inventarisieren; diese sind möglicherweise nicht mehr im Support, daher Upgrades planen oder erweiterte Sicherheitsupdates prüfen, sofern verfügbar.
• Die Oktober-2026-Cumulative-Updates auf allen unterstützten Systemen installieren; Build-Nummern anhand des MSRC-Advisory verifizieren.
• Lokale Anmeldung und Nutzung von USB-Geräten auf betroffenen Systemen einschränken, bis ein Patch installiert ist.
• Publikationen von Exploits und Änderungen im KEV-Katalog überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-83638 msrc.microsoft.com
• OpenCVE: CVE-2026-83638 app.opencve.io
• Vulners CVE list record: CVE-2026-83638 vulners.com
• Vulners NVD record: CVE-2026-83638 vulners.com
• Strix AI: CVE-2026-83638 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 03:27.