Windows Installer: Heap-basierter Pufferüberlauf ermöglicht lokale Rechteerweiterung

Zusammenfassung

Der Windows Installer von Microsoft, die Komponente zur Installation, Wartung und Entfernung von MSI-Paketen, enthält einen heap-basierten Pufferüberlauf (CWE-122). Ein lokaler Benutzer mit niedrigen Privilegien kann diesen ausnutzen, um höhere Rechte zu erlangen, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Es ist kein direkter Einstiegspunkt aus dem Netzwerk und setzt lokalen Zugriff voraus, etwa wenn Phishing bereits eine Codeausführung ermöglicht hat.

Betroffen

• Windows 10 Version 1607 und Windows Server 2016: Builds 10.0.14393.0 bis vor 10.0.14393.9612
• Windows 10 Version 1809: Builds 10.0.17763.0 bis vor 10.0.17763.9376
• Windows 10 Version 21H2: Builds 10.0.19044.0 bis vor 10.0.19044.7807
• Windows 10 Version 22H2: Builds 10.0.19045.0 bis vor 10.0.19045.7807
• Windows 11 Version 23H2: Builds 10.0.22631.0 bis vor 10.0.22631.7652
• Windows 11 Version 24H2, 25H2 und 26H2: Builds 10.0.26100.0, 10.0.26200.0 und 10.0.26300.0 bis vor 9711 (je nach Build-Linie)
• Windows 11 Version 26H1: Builds 10.0.28000.0 bis vor 10.0.28000.3231
• Windows Server 2012 und 2012 R2 (inklusive Server Core): 6.2.9200.0 bis vor 6.2.9200.26434 bzw. 6.3.9600.0 bis vor 6.3.9600.23470

Behoben in

• Windows 10 Version 1607 und Server 2016: KB5126868 (OS Build 14393.9612, 13. Okt. 2026)
• Späteres kumulatives Update für 1607: KB5134123 (OS Build 14393.9615, 26. Okt. 2026)
• Unbekannt: Die genaue Zuordnung von CVE zu KB wurde auf der MSRC-Seite nicht verifiziert.

Umgehung

Unbekannt. Es wurde keine Herstellermassnahme gefunden. Das Sicherheitsupdate installieren.

Ausnutzung

• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total
• EPSS-Wert 0.00318 (sehr niedrig)
• Widersprüchliches Signal: Ein Tenable-Plugin für ein Oktober-2026-Update meldet eine Ausnutzung und ein KEV-Fälligkeitsdatum, dies betrifft diese CVE möglicherweise nicht und ist nicht verifiziert
• Öffentlicher Proof of Concept: unbekannt (keiner gefunden)

Unsere Empfehlung

• Alle Windows-10-1607-, LTSB-2016- und Windows-Server-2016-Systeme inventarisieren.
• KB5134123 oder das neueste kumulative Update installieren, sofern noch unterstützt, und die Behebung auf der MSRC-Seite bestätigen.
• Migration auf eine unterstützte Windows-Version planen und mit Microsoft klären, welche Wartungsoptionen (z. B. ESU) noch verfügbar sind.
• Endgeräte und Server mit 1607 und LTSB 2016 mit mittel-hoher Priorität behandeln; andere unterstützte Windows-Systeme im üblichen monatlichen Zyklus patchen (mittel).
• Auf lokale Rechteerweiterung achten, besonders nach Phishing-Vorfällen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-85358 msrc.microsoft.com
• Windows 10 1607 security update KB5126868 support.microsoft.com
• Windows 10 1607 update KB5134123 support.microsoft.com
• Microsoft release health: Windows 10 1607 and Windows Server 2016 learn.microsoft.com
• OpenCVE: CVE-2026-85358 app.opencve.io
• Tenable plugin 365473 www.tenable.com
• Rapid7 via Vulners: CVE-2026-85358 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 02:17.