Windows Management Instrumentation: Heap-basierter Pufferüberlauf (Rechteausweitung)

Zusammenfassung

Ein Heap-basierter Pufferüberlauf in Windows Management Instrumentation (WMI), einer Windows-Komponente, erlaubt einem lokalen Angreifer mit niedrigen Rechten eine Ausweitung seiner Privilegien. Der CVSS-3.1-Wert beträgt 7.8 (High) mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Ein Angreifer benötigt zuerst einen Zugang zum System, beispielsweise über einen Phishing-Angriff auf einen Benutzer oder ein kompromittiertes Konto mit niedrigen Rechten, weshalb die Schwachstelle allein nicht aus der Ferne ausnutzbar ist.

Betroffen

• Microsoft Windows 10 Version 1607 (10.0.14393.0 bis vor 10.0.14393.9612)
• Microsoft Windows 10 Version 1809 (10.0.17763.0 bis vor 10.0.17763.9376)
• Microsoft Windows 10 Version 21H2 (10.0.19044.0 bis vor 10.0.19044.7807)
• Microsoft Windows 10 Version 22H2 (10.0.19045.0 bis vor 10.0.19045.7807, gemäss CNA-Eintrag; eine Drittquelle nennt eine andere Grenze, die zu überprüfen ist)
• Microsoft Windows 11 Version 23H2 (10.0.22631.0 bis vor 10.0.22631.7652)
• Microsoft Windows 11 Version 24H2, 25H2, 26H1 und 26H2 (im CNA-Eintrag aufgeführt; genaue Builds sind zu überprüfen)
• Microsoft Windows Server 2012 und Server-Core-Installation (6.2.9200.0 bis vor 6.2.9200.26434)
• Microsoft Windows Server 2012 R2 und Server-Core-Installation (6.3.9600.0 bis vor 6.3.9600.23470)
• Microsoft Windows Server 2016 (10.0.14393.0 bis vor 10.0.14393.9612)

Behoben in

• Behoben in den Windows-Updates vom Oktober 2026, gemäss Herstellerhinweis und CNA-Daten
• Windows 10 Version 1607: 10.0.14393.9612
• Windows 10 Version 1809: 10.0.17763.9376
• Windows 10 Version 21H2: 10.0.19044.7807
• Windows 11 Version 23H2: 10.0.22631.7652
• Windows Server 2012: 6.2.9200.26434
• Windows Server 2016: 10.0.14393.9612
• Behobene Builds für Windows 11 24H2, 25H2, 26H1, 26H2 sowie Windows Server 2012 R2: Unbekannt.
• Alle Builds vor dem Rollout mit dem MSRC-Hinweis abgleichen.

Umgehung

Unbekannt. In den geprüften Quellen ist keine Massnahme dokumentiert. Das Installieren von Updates ist die einzige dokumentierte Abhilfe.

Ausnutzung

• CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
• Nicht im CISA-Katalog known exploited vulnerabilities aufgeführt.
• EPSS-Wert 0.00361.
• Bei den durchgeführten Recherchen wurde kein öffentlicher Proof of Concept gefunden. Dies beweist nicht, dass keiner existiert.

Unsere Empfehlung

• Die Windows-Sicherheitsupdates vom Oktober 2026 auf allen betroffenen Systemen installieren, mit Priorität auf gemeinsam genutzten Arbeitsstationen, Remote-Desktop- oder Terminalservern und Dateiservern mit interaktiven Benutzern.
• Den Update-Pfad für Windows Server 2012, der nicht mehr unterstützt wird, bestätigen und die genauen Builds im MSRC-Hinweis prüfen.
• Lokale Anmeldungen einschränken und Konten mit niedrigen Rechten auf Servern und gemeinsam genutzten Systemen begrenzen.
• Auf ungewöhnliche Rechteänderungen oder neue lokale Administratorkonten achten und regelmässig nach öffentlichen Exploits suchen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide (MSRC advisory) msrc.microsoft.com
• Vulners NVD record vulners.com
• Vulners CVElist record vulners.com
• OpenCVE app.opencve.io
• Strix CVE record (CNA-derived versions) www.strix.ai
• VulDB entry vuldb.com
• Tenable plugin (Windows Server 2012 update) www.tenable.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 03:02.