Microsoft Windows: Heap-basierter Pufferüberlauf in Text Shaping

Zusammenfassung

Ein heap-basierter Pufferüberlauf in der Windows-Komponente Text Shaping ermöglicht die Ausführung von Code. Der von NVD veröffentlichte CVSS-Vektor beschreibt einen Netzwerkangriff ohne Berechtigungen und ohne Benutzerinteraktion, Zero Day Initiative beschreibt den Angriff jedoch als lokal und mit autorisiertem Zugriff. Bis das Microsoft-Advisory den Angriffsvektor klärt, sollte die Schwachstelle als kritisch behandelt werden.

Betroffen

• Windows 10 Version 1607 (10.0.14393.0 bis vor 10.0.14393.9612)
• Windows 10 Version 1809 (10.0.17763.0 bis vor 10.0.17763.9376)
• Windows 10 Version 21H2 (10.0.19044.0 bis vor 10.0.19044.7807)
• Windows 10 Version 22H2 (10.0.19045.0 bis vor 10.0.19045.7807)
• Windows 11 Version 23H2 (10.0.22631.0 bis vor 10.0.22631.7652)
• Windows 11 Version 24H2 (10.0.26100.0 bis vor 10.0.26100.9711)
• Windows 11 Version 25H2 (10.0.26200.0 bis vor 10.0.26200.9711)
• Windows 11 Version 26H1 (10.0.28000.0 bis vor 10.0.28000.3231)
• Windows 11 Version 26H2 (10.0.26300.0 bis vor 10.0.26300.9711)
• Windows Server 2012 und Server-Core-Installation (6.2.9200.0 bis vor 6.2.9200.26434)
• Windows Server 2012 R2 und Server-Core-Installation (6.3.9600.0 bis vor 6.3.9600.23470)
• Windows Server 2016 (10.0.14393.0 bis vor 10.0.14393.9612)

Behoben in

• Microsoft-Sicherheitsupdate vom Oktober 2026 für alle betroffenen Versionen installieren.
• Die oben genannten Build-Nummern stammen aus dem CVE-Eintrag und sind noch nicht gegen das Microsoft-Advisory verifiziert. Die Quellen widersprechen sich bei einigen Fix-Builds.
• Die Patches KB5126646 (Server 2025) und KB5126657 (Windows 10 21H2/22H2) werden in Drittquellen genannt, sind aber nicht als Fix für diese CVE bestätigt.

Umgehung

Unbekannt. In den Quellen wurde keine Workaround oder Massnahme gefunden.

Ausnutzung

• Keine bestätigte Ausnutzung in freier Wildbahn gefunden.
• Die CISA-SSVC-Daten im CVE-Eintrag weisen die Ausnutzung als none und die Automatisierbarkeit als yes aus.
• Eine Tenable-Seite markiert einen Exploit als verfügbar und nennt ein Fälligkeitsdatum im CISA-KEV-Katalog, es ist jedoch unklar, ob sich dies auf diese CVE bezieht.
• Kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Das kumulative Update vom Oktober 2026 auf allen Windows-Clients und -Servern installieren, zuerst auf Internet-exponierten Servern sowie Datei-, Druck- und RDP-Servern.
• Die Fix-Build-Nummer gegen das Microsoft-Advisory prüfen und den gepatchten Build auf jedem System kontrollieren.
• Vor dem Schliessen des Eintrags den CISA-KEV-Katalog auf diese CVE prüfen.
• NVD und das Microsoft-Advisory innerhalb weniger Tage erneut prüfen, da die NVD-Analyse noch ausstand und der Angriffsvektor umstritten ist.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-83770 msrc.microsoft.com
• Zero Day Initiative: October 2026 Security Update Review www.zerodayinitiative.com
• OpenCVE: CVE-2026-83770 app.opencve.io
• Vulners NVD record: CVE-2026-83770 vulners.com
• Tenable plugin 365467 www.tenable.com
• Strix: CVE-2026-83770 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 18:36.