Microsoft Windows GDI: Remote Code Execution durch Out-of-Bounds-Schreibzugriff

Zusammenfassung

Ein Out-of-Bounds-Schreibzugriff in der Windows Graphics Device Interface (GDI) erlaubt einem nicht autorisierten Angreifer, Code aus der Ferne auszuführen. Betroffen sind mehrere unterstützte und ältere Versionen von Windows 10, Windows 11 und Windows Server. Für einen Angriff muss ein Opfer eine Aktion ausführen, etwa eine präparierte Datei oder einen manipulierten Webinhalt öffnen, was das praktische Risiko begrenzt.

Betroffen

• Windows 10 Version 1607 und Windows Server 2016 (inklusive Server Core): Builds vor 10.0.14393.9612
• Windows 10 Version 1809 und Windows Server 2019 (inklusive Server Core): Builds vor 10.0.17763.9376
• Windows 10 Version 21H2: Builds vor 10.0.19044.7807
• Windows 10 Version 22H2: Builds vor 10.0.19045.7807
• Windows 11 Version 23H2: Builds vor 10.0.22631.7652
• Windows 11 Version 24H2 und 25H2 sowie Windows 11 Version 26H2: Builds vor 10.0.26100.9711, 10.0.26200.9711 und 10.0.26300.9711
• Windows 11 Version 26H1: Builds vor 10.0.28000.3231
• Windows Server 2012 R2 (inklusive Server Core): Builds vor 6.3.9600.23470

Hinweis: Der CNA-Eintrag nennt Server 2012 R2, einige Drittdatenbanken weichen davon ab. Mit dem MSRC-Advisory abgleichen.

Behoben in

• Sicherheitsupdate von Microsoft für jeden betroffenen Build (korrigierte Builds laut NVD-Spiegeln: 10.0.14393.9612, 10.0.17763.9376, 10.0.19044.7807, 10.0.19045.7807)
• Unbekannt: die KB-Nummer für Windows 10 Version 1607 und Windows Server 2016. Im MSRC-Advisory prüfen.
• Verteilung: Windows Update oder Microsoft Update Catalog

Umgehung

• Kein vom Hersteller veröffentlichter Workaround gefunden.
• Unbekannt: ob Microsoft eine Registry- oder Konfigurationsmassnahme anbietet. Im MSRC-Advisory prüfen.

Ausnutzung

• Bewertung von Microsoft gemäss CISA SSVC: keine Ausnutzung, nicht automatisierbar, totale technische Auswirkung.
• VulDB meldet keinen verfügbaren Exploit. Nicht im CISA-KEV-Katalog aufgeführt.
• In der Recherche wurden keine Berichte über Ausnutzung in freier Wildbahn oder öffentlichen Proof-of-Concept-Code gefunden. Dies beweist die Abwesenheit nicht.
• EPSS ungefähr 0.006 (geringe vorhergesagte Ausnutzungswahrscheinlichkeit).

Unsere Empfehlung

• Sicherheitsupdate von Microsoft auf allen betroffenen Systemen installieren, zuerst auf Hosts, die nicht vertrauenswürdige Dokumente, Bilder oder Webinhalte verarbeiten.
• Nicht mehr unterstützte Systeme mit Windows 10 Version 1607 und Windows Server 2016 ersetzen oder bestätigen, dass sie weiterhin Sicherheitsupdates erhalten. Nicht verifizierte Recherchehinweise deuten darauf hin, dass der erweiterte Support für Enterprise LTSB 2016 am 13. Oktober 2026 endet; Microsofts Lifecycle-Seiten prüfen.
• Prüfen, ob ältere Hosts aus dem Internet oder aus nicht vertrauenswürdigen Netzen erreichbar sind, und eingehende Zugriffe einschränken.
• Auf systemen, die Grafik- oder Dateneingaben verarbeiten, auf ungewöhnliches Verhalten achten.
• Das MSRC-Advisory für die endgültigen KB-Nummern und allfällige Massnahmen prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide (MSRC advisory, not retrieved) msrc.microsoft.com
• NVD mirror on Vulners vulners.com
• Microsoft MSCVE entry on Vulners vulners.com
• Rapid7 entry on Vulners vulners.com
• VulDB entry vuldb.com
• OpenCVE entry app.opencve.io
• Strix CVE entry www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 18:25.