Microsoft Internet Messaging API: Heap-Pufferüberlauf ermöglicht Remote Code Execution

Zusammenfassung

Ein heap-basierter Pufferüberlauf in der Microsoft Internet Messaging API, einer Windows-Komponente, erlaubt einem nicht autorisierten Angreifer, über das Netzwerk Code auszuführen. Der CVSS-Vektor erfordert eine Benutzerinteraktion (UI:R), was das praktische Risiko senkt. CISA stuft die Ausnutzung als none ein, und es wurde kein öffentlicher Proof of Concept gefunden. Das Risiko hängt davon ab, ob die Komponente von ausserhalb des Netzwerks erreichbar ist.

Betroffen

• Windows 10 Version 1607 (Builds vor 10.0.14393.9612)
• Windows 10 Version 1809 (Builds vor 10.0.17763.9376)
• Windows 10 Version 21H2 (Builds vor 10.0.19044.7807)
• Windows 10 Version 22H2 (Builds vor 10.0.19045.7807)
• Windows 11 Version 23H2 (Builds vor 10.0.22631.7652)
• Windows 11 Version 24H2 (Builds vor 10.0.26100.9711)
• Windows 11 Version 25H2 (Builds vor 10.0.26200.9711)
• Windows 11 Version 26H1 (Builds vor 10.0.28000.3231)
• Windows 11 Version 26H2 (Builds vor 10.0.26300.9711)
• Windows Server 2012, inklusive Server Core (Builds vor 6.2.9200.26434)
• Windows Server 2012 R2, inklusive Server Core (Builds vor 6.3.9600.23470)
• Windows Server 2016 (Builds vor 10.0.14393.9612)

Behoben in

• Korrigierte Builds gemäss dem offiziellen CNA-Eintrag, vor dem Rollout gegen das MSRC-Advisory zu prüfen.
• Mögliche kumulative Updates vom Oktober 2026: KB5126646 (Windows Server 2025), KB5126651 (Windows 10 1809 / Server 2019), KB5126868 (Windows Server 2016, laut einer Drittquelle). Diese sind nicht als Korrekturen bestätigt.

Umgehung

Unbekannt. Es wurde kein Workaround oder keine Zwischenmassnahme des Herstellers identifiziert; das Einspielen von Updates ist die einzige dokumentierte Massnahme.

Ausnutzung

• Nicht bekannt, dass die Lücke aktiv ausgenutzt wird.
• CISA SSVC: Ausnutzung none, automatisierbar no, technische Auswirkung total.
• Kein öffentlicher Proof of Concept gefunden; dies ist keine Bestätigung, dass keiner existiert.

Unsere Empfehlung

• Die korrigierten KB-Nummern pro Produkt im MSRC Security Update Guide prüfen, bevor sie verteilt werden.
• Zuerst Systeme mit Internetzugang und Server patchen, danach Arbeitsstationen.
• Die verwandte lokale Variante CVE-2026-83919 zusammen mit dieser CVE patchen.
• Prüfen, ob Windows-Systeme mit dieser Komponente von ausserhalb des Netzwerks erreichbar sind, und den Zugriff wo möglich einschränken.
• Betroffene Hosts auf ungewöhnliche Prozessaktivität und Netzwerkverkehr überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-83778 msrc.microsoft.com
• OpenCVE: CVE-2026-83778 app.opencve.io
• Vulners NVD record: CVE-2026-83778 vulners.com
• Strix AI: CVE-2026-83778 (third-party aggregator, contains errors) www.strix.ai
• Senserva: KB5126868 (Server 2016) senserva.com
• Vulners PT-2026-112680 (related CVE-2026-83919) vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 18:32.