Windows: Use-after-free in Direct Composition ermöglicht lokale Rechteerweiterung

Zusammenfassung

Eine Use-after-free-Schwachstelle (CWE-416) in der Windows-Komponente Direct Composition erlaubt einem berechtigten lokalen Benutzer mit niedrigen Rechten, seine Privilegien zu erweitern. Eine erfolgreiche Ausnutzung kann zur vollständigen Kompromittierung von Vertraulichkeit, Integrität und Verfügbarkeit des betroffenen Systems führen. Ein Angreifer benötigt ein bestehendes Konto oder einen Zugriff auf das Gerät, daher ist die Lücke nicht aus der Ferne ausnutzbar. Microsoft hat Korrekturen veröffentlicht und meldet keine bekannte Ausnutzung.

Betroffen

• Windows 10 Version 21H2 (10.0.19044.0 bis vor 10.0.19044.7807)
• Windows 10 Version 22H2 (10.0.19045.0 bis vor 10.0.19045.7807)
• Windows 11 Version 23H2 (10.0.22631.0 bis vor 10.0.22631.7652)
• Windows 11 Version 24H2 (10.0.26100.0 bis vor 10.0.26100.9711)
• Windows 11 Version 25H2 (10.0.26200.0 bis vor 10.0.26200.9711)
• Windows 11 Version 26H1 (10.0.28000.0 bis vor 10.0.28000.3231)
• Windows 11 Version 26H2 (10.0.26300.0 bis vor 10.0.26300.9711)
• Windows Server 2022 (10.0.20348.0 bis vor 10.0.20348.5761)
• Windows Server 2025, einschliesslich Server-Core-Installation (10.0.26100.0 bis vor 10.0.26100.33650)

Behoben in

• Das Sicherheitsupdate vom Oktober 2026 für die jeweilige Edition installieren (Windows 10 21H2: Build 10.0.19044.7807 oder höher).
• Windows 10 22H2: Build 10.0.19045.7807 oder höher.
• Windows 11 23H2: Build 10.0.22631.7652 oder höher.
• Windows 11 24H2 und 25H2, Windows 11 26H2: Build 10.0.26100.9711, 10.0.26200.9711 bzw. 10.0.26300.9711 oder höher.
• Windows 11 26H1: Build 10.0.28000.3231 oder höher.
• Windows Server 2022: Build 10.0.20348.5761 oder höher.
• Windows Server 2025: Build 10.0.26100.33650 oder höher.
• Für Windows 10 21H2 nennen Drittquellen die KB-Nummer KB5126657; die KB-Nummer vor dem Rollout auf der MSRC-Seite überprüfen.

Umgehung

Unbekannt.

Ausnutzung

• Microsoft stuft die Schwachstelle als nicht ausgenutzt ein.
• Der temporale Vektor von Microsoft verwendet Exploit Code Maturity 'Unproven', was bei Veröffentlichung auf keinen öffentlich bekannten Exploit-Code hinweist.
• CISA-SSVC-Daten: Ausnutzung 'none', automatisierbar 'no', technische Auswirkung 'total'.
• Der EPSS-Wert liegt bei etwa 0,34 Prozent.
• Kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Das kumulative Sicherheitsupdate vom Oktober 2026 auf allen betroffenen Windows-10- und Windows-11-Systemen sowie Windows-Server-Installationen einspielen; Mehrbenutzersysteme, Terminalserver und Kioske zuerst priorisieren.
• Windows-Edition und Supportstatus prüfen, insbesondere bei Windows 10 21H2 (Pro/Enterprise oder LTSC bzw. ob ESU gilt).
• Auswirkungen eines Zugriffs mit niedrigen Rechten reduzieren: Least-Privilege umsetzen, Phishing-Schutz und MFA aktivieren sowie auf verdächtige Rechteänderungen überwachen.
• Nach dem Patchen die installierte Build-Nummer überprüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-83922 msrc.microsoft.com
• NVD record via Vulners mirror vulners.com
• OpenCVE record incl. CISA SSVC data app.opencve.io
• Tenable plugin for the October 2026 Windows update www.tenable.com
• Senserva summary of KB5126657 senserva.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 02:32.