Microsoft Windows Installer: Rechteerweiterung durch Heap-basierten Pufferüberlauf

Zusammenfassung

Ein Heap-basierter Pufferüberlauf im Windows Installer erlaubt einem berechtigten lokalen Angreifer, seine Rechte zu erweitern, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Der Angreifer benötigt lokalen Zugriff und niedrige Berechtigungen, eine Benutzerinteraktion ist nicht nötig. Die Schwachstelle ist nicht aus dem Internet ausnutzbar, sie ist aber relevant, sobald ein Angreifer bereits Fuss auf einem Gerät gefasst hat, etwa durch Phishing oder gestohlene Zugangsdaten.

Betroffen

• Windows 10 Version 1607 (Windows 10 Enterprise LTSB 2016): Builds unterhalb von 10.0.14393.9612
• Windows Server 2016: Builds unterhalb von 10.0.14393.9612
• Windows 10 Version 1809: Builds unterhalb von 10.0.17763.9376
• Windows 10 Version 21H2 und 22H2: Builds unterhalb von 10.0.19045.7807
• Windows 11 Version 23H2: Builds unterhalb von 10.0.22631.7652
• Windows 11 Version 24H2, 25H2 und 26H2: Builds unterhalb von 10.0.26100.9711 (24H2), 10.0.26200.9711 (25H2) bzw. 10.0.26300.9711 (26H2)
• Windows 11 Version 26H1: Builds unterhalb von 10.0.28000.3231
• Windows Server 2012 und 2012 R2 (inklusive Server Core): Builds unterhalb von 6.2.9200.26434 bzw. 6.3.9600.23470

Behoben in

• Windows 10 Version 1607 und Windows Server 2016: KB5126868 (OS Build 14393.9612), veröffentlicht am 13. Oktober 2026
• Andere Produkte: Fixe Builds gemäss der Auflistung unter Betroffen, aus den Sicherheitsupdates vom Oktober 2026
• Die Release-Informationen von Microsoft führen zusätzlich ein Out-of-Band-Update mit Build 14393.9615 (26. Oktober 2026). Es ist nicht bestätigt, dass dieser Build für diese CVE nötig ist.

Umgehung

Unbekannt. In den geprüften Quellen wurde keine Workaround- oder Mitigationsmassnahme gefunden. Die Informationen im MSRC Update Guide prüfen.

Ausnutzung

• Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
• CISA SSVC: Exploitation none, Automatable no.
• Nicht im Katalog der CISA Known Exploited Vulnerabilities aufgeführt.
• EPSS-Wert 0.00318 (sehr tief).
• Kein öffentlicher Proof of Concept gefunden; dies schliesst einen solchen nicht aus.

Unsere Empfehlung

• Alle Windows 10 1607 LTSB- und Windows Server 2016-Systeme jetzt inventarisieren.
• Windows 10 1607 LTSB hat das Ende der Updates erreicht, und Microsoft gibt an, dass keine Sicherheitsupdates mehr bereitgestellt werden; der Status des Out-of-Band-Builds ist unklar. Migration planen, etwa auf Windows 11 Enterprise LTSC 2024, oder diese Geräte isolieren und lokale Anmeldungen einschränken.
• Die kumulativen Sicherheitsupdates vom Oktober 2026 auf allen anderen unterstützten Windows-Versionen installieren.
• Lokale Administratorrechte einschränken und auf Anzeichen einer Rechteerweiterung überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Response Center: CVE-2026-85366 msrc.microsoft.com
• NVD record mirror (Vulners): CVE-2026-85366 vulners.com
• KB5126868: Windows 10 1607 security update support.microsoft.com
• Windows 10 1607 and Windows Server 2016 release health status learn.microsoft.com
• Windows release information learn.microsoft.com
• OpenCVE: CVE-2026-85366 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 02:16.