Microsoft Windows: Lokale Rechteausweitung über Buffer Over-Read im Overlay Filter

Zusammenfassung

Ein Buffer Over-Read im Windows Overlay Filter in mehreren Windows-10-, Windows-11- und Windows-Server-Versionen erlaubt einem berechtigten Angreifer, seine Rechte lokal auszuweiten (CVSS 7.8, hoch, CWE-126). Der Angreifer benötigt ein lokales Konto mit niedrigen Berechtigungen und keine Benutzerinteraktion, daher ist die Schwachstelle nicht direkt aus dem Internet ausnutzbar. Ein erfolgreicher Angriff könnte die Vertraulichkeit, Integrität und Verfügbarkeit des betroffenen Systems beeinträchtigen und ist vor allem auf Mehrbenutzer-Servern und Terminal-Servern relevant.

Betroffen

• Windows 10 Version 1607 und Windows Server 2016: 10.0.14393.0 bis vor 10.0.14393.9612
• Windows 10 Version 1809: 10.0.17763.0 bis vor 10.0.17763.9376
• Windows 10 Version 21H2 und 22H2: vor 10.0.19044.7807 bzw. 10.0.19045.7807
• Windows 11 Version 23H2: vor 10.0.22631.7652
• Windows 11 Version 24H2 und 25H2, Windows 11 Version 26H2: vor 10.0.26100.9711, 10.0.26200.9711 bzw. 10.0.26300.9711
• Windows 11 Version 26H1: vor 10.0.28000.3231
• Windows Server 2012 (inklusive Server Core): vor 6.2.9200.26434
• Windows Server 2012 R2 (inklusive Server Core): vor 6.3.9600.23470

Behoben in

• Das Sicherheitsupdate vom Oktober 2026 (oder ein späteres Update) für jeden betroffenen Build installieren.
• Windows 10 1607 und Windows Server 2016: Build 10.0.14393.9612 oder neuer. Die KB-Nummer ist unbekannt und muss dem MSRC-Advisory entnommen werden.
• Andere Builds: siehe die Mindest-Builds unter Betroffene Versionen.

Umgehung

Unbekannt. Es ist kein Workaround des Herstellers dokumentiert; das Sicherheitsupdate ist die Abhilfe.

Ausnutzung

• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Nicht im CISA-KEV-Katalog aufgeführt.
• EPSS etwa 0.3 %.
• In unserer Recherche wurde kein öffentlicher Proof of Concept gefunden; dies beweist jedoch nicht, dass keiner existiert.
• VulDB schätzt den Exploit-Preis auf USD 5k bis 25k. VulDB beschreibt die Schwachstelle als Buffer Overflow (CWE-120/119), was von der Microsoft/NVD-Einstufung abweicht.

Unsere Empfehlung

• Alle betroffenen Systeme mit dem Sicherheitsupdate vom Oktober 2026 oder einem späteren Update patchen, zuerst Mehrbenutzer-Server, RDS-/Terminal-Server und Hosts mit Windows 10 1607 bzw. Server 2016.
• Prüfen, ob 1607- und Server-2016-Hosts das Update tatsächlich erhalten haben, und bestätigen, dass diese Builds noch unterstützt werden, bevor man sich auf Patches verlässt.
• Lokale interaktive Anmeldung auf Servern und gemeinsam genutzten Hosts einschränken, das Least-Privilege-Prinzip anwenden und EDR aktiv halten, um Rechteausweitungen zu erkennen.
• Priorität: hoch für Mehrbenutzer- und ältere Systeme, mittel für Einzelplatz-Arbeitsstationen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-83727 msrc.microsoft.com
• NVD record via Vulners vulners.com
• Microsoft CNA record via Vulners vulners.com
• OpenCVE: CVE-2026-83727 app.opencve.io
• VulDB: CVE-2026-83727 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 03:12.