Windows Event Tracing: Heap-basierter Pufferüberlauf ermöglicht lokale Codeausführung

Zusammenfassung

Ein heap-basierter Pufferüberlauf in Windows Event Tracing betrifft mehrere unterstützte und ältere Versionen von Windows 10, Windows 11 und Windows Server. Ein Angreifer mit lokalem Zugriff, etwa ein angemeldeter Benutzer oder bereits auf dem Host laufender Code, kann Code mit den Rechten des betroffenen Prozesses ausführen und unter Umständen die volle Kontrolle über das System erlangen. Der CVSS-Vektor ist lokal (AV:L) und erfordert eine Benutzerinteraktion (UI:R); der offizielle Titel nennt zwar "Remote Code Execution", die Schwachstelle ist aber nicht über das Netzwerk ausnutzbar.

Betroffen

• Windows 10 Version 1607 und Windows Server 2016: Builds vor 10.0.14393.9612
• Windows 10 Version 1809 und Windows Server 2019: Builds vor 10.0.17763.9376
• Windows 10 Version 21H2: Builds vor 10.0.19044.7807
• Windows 10 Version 22H2: Builds vor 10.0.19045.7807
• Windows 11 Version 23H2: Builds vor 10.0.22631.7652
• Windows 11 Version 24H2 und Windows Server 2025: Builds vor 10.0.26100.9711
• Windows 11 Version 25H2: Builds vor 10.0.26200.9711
• Windows 11 Version 26H1: Builds vor 10.0.28000.3231
• Windows 11 Version 26H2: Builds vor 10.0.26300.9711
• Windows Server 2012 und 2012 R2: Builds vor 6.2.9200.26434 bzw. 6.3.9600.23470
• Windows Server 2022: Builds vor 10.0.20348.5761 (gemäss NVD-basierten Daten, nicht im offiziellen CVE-Eintrag bestätigt)

Behoben in

• Installieren Sie das Windows-Sicherheitsupdate vom Oktober 2026 für Ihre Version (Patch Tuesday, 13. Oktober 2026).
• Korrigierte Builds: siehe die Liste der betroffenen Versionen oben; prüfen Sie die exakten Build-Nummern und KB-Artikel im MSRC-Advisory vor der Verteilung.

Umgehung

Unbekannt. Der Hersteller dokumentiert keine Workaround- oder Schutzmassnahme. Beschränken Sie bis zur Aktualisierung die lokale Anmeldung auf vertrauenswürdige Benutzer und begrenzen Sie, wer auf betroffenen Hosts Code ausführen kann.

Ausnutzung

• Öffentlich bekannt: nein
• In freier Wildbahn ausgenutzt: nein
• Bewertung der Ausnutzbarkeit durch MSRC: Exploitation Less Likely
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total
• Zum Zeitpunkt der Recherche nicht im CISA-KEV-Katalog gelistet
• In der Recherche wurde kein öffentlicher Proof of Concept gefunden; vor der endgültigen Priorisierung erneut prüfen

Unsere Empfehlung

• Erfassen Sie alle Windows-Hosts und identifizieren Sie zuerst Systeme mit Windows 10 1607, Windows 10 1809, Windows Server 2012, 2012 R2, 2016 und 2019.
• Installieren Sie das Sicherheitsupdate vom Oktober 2026 auf allen betroffenen Systemen und prüfen Sie die installierte Build-Nummer.
• Prüfen Sie, ob ältere Systeme noch Sicherheitsupdates erhalten, und planen Sie bei fehlendem Support eine Migration.
• Beschränken Sie die lokale Anmeldung und die Administratorrechte auf Legacy-, Kiosk-, Kassen- und Industriesystemen, bis diese gepatcht sind.
• Überwachen Sie betroffene Hosts auf ungewöhnliche lokale Prozessaktivitäten und Rechteausweitungen.
• Priorität: standardmässig mittel; auf hoch erhöhen für 1607- oder Server-2016-Hosts, die sensible Daten verarbeiten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide: CVE-2026-83836 msrc.microsoft.com
• MSRC Security Update Guide (en-US): CVE-2026-83836 msrc.microsoft.com
• Vulners NVD record: CVE-2026-83836 vulners.com
• OpenCVE: CVE-2026-83836 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 02:54.