Windows: Informationsoffenlegung durch Out-of-Bounds-Read in GDI

Zusammenfassung

CVE-2026-83651 ist ein Out-of-Bounds-Read im Windows Graphics Device Interface (GDI), der mehrere Windows-10-, Windows-11- und Windows-Server-2012-Builds sowie einige Office-Versionen für Mac und Android betrifft. Ein nicht autorisierter Angreifer im Netzwerk kann Speicher ausserhalb des vorgesehenen Puffers lesen und so Informationen offenlegen; gemäss dem CVSS-Vektor im CVE-Eintrag sind dafür keine Berechtigungen und keine Benutzerinteraktion nötig. Die Auswirkung beschränkt sich auf die Vertraulichkeit; der Eintrag beschreibt keine Codeausführung. Der CVSS-Wert unterscheidet sich zwischen den Quellen (7.5 in den Eingabedaten, 6.5 in einigen Sekundärquellen), weshalb er in der NVD überprüft werden sollte.

Betroffen

• Windows 10 Version 1607: 10.0.14393.0 bis < 10.0.14393.9612
• Windows 10 Version 1809: 10.0.17763.0 bis < 10.0.17763.9376
• Windows 10 Version 21H2: 10.0.19044.0 bis < 10.0.19044.7807
• Windows 10 Version 22H2: 10.0.19045.0 bis < 10.0.19045.7807
• Windows 11 Version 23H2: 10.0.22631.0 bis < 10.0.22631.7652
• Windows 11 Version 24H2: 10.0.26100.0 bis < 10.0.26100.9711
• Windows 11 Version 25H2: 10.0.26200.0 bis < 10.0.26200.9711
• Windows 11 Version 26H1: 10.0.28000.0 bis < 10.0.28000.3231
• Windows 11 Version 26H2: 10.0.26300.0 bis < 10.0.26300.9711
• Windows Server 2012: 6.2.9200.0 bis < 6.2.9200.26434
• Office LTSC für Mac 2021 und 2024, Office 365 für Mac: Versionen unter 16.114.26101123
• Office für Android: Versionen 16.0.1 bis < 16.0.20430.20000

Behoben in

• Windows 10 Version 1607: 10.0.14393.9612 oder neuer
• Windows 10 Version 1809: 10.0.17763.9376 oder neuer
• Windows 10 Version 21H2 und 22H2: 10.0.19044.7807 / 10.0.19045.7807 oder neuer
• Windows 11 Version 23H2: 10.0.22631.7652 oder neuer
• Windows 11 Version 24H2, 25H2 und 26H2: 10.0.26100.9711 / 10.0.26200.9711 / 10.0.26300.9711 oder neuer
• Windows 11 Version 26H1: 10.0.28000.3231 oder neuer
• Windows Server 2012: 6.2.9200.26434 oder neuer
• Office: Die fixen Versionen sind dem Microsoft Security Update Guide zu entnehmen

KB-Nummern: Unbekannt.

Umgehung

Unbekannt.

Ausnutzung

• CISA SSVC: Exploitation none, Automatable no, technische Auswirkung partial
• Microsoft-Exploitability-Flag: unproven
• EPSS etwa 1 Prozent
• Im begrenzten Suchumfang wurden kein öffentlicher Proof of Concept und kein KEV-Eintrag gefunden; dies ist keine Bestätigung der Abwesenheit.

Unsere Empfehlung

• Unterstützte Windows- und Office-Systeme im regulären Update-Zyklus vom Oktober 2026 patchen.
• Windows-10-Systeme der Version 1607 ersetzen oder isolieren; es handelt sich um eine ältere Version, die aufgerüstet werden sollte.
• Prüfen, ob betroffene Systeme von ausserhalb des Netzwerks erreichbar sind.
• CVSS-Wert und KB-Nummern im MSRC Security Update Guide vor der endgültigen Priorisierung verifizieren.
• Priorität: mittel.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide: CVE-2026-83651 msrc.microsoft.com
• Vulners NVD mirror: CVE-2026-83651 vulners.com
• Vulners CVE List / CNA data: CVE-2026-83651 vulners.com
• OpenCVE record: CVE-2026-83651 app.opencve.io
• Strix summary: CVE-2026-83651 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 18:50.