Windows GDI: Out-of-Bounds Read führt zu Informationsoffenlegung

Zusammenfassung

Ein Out-of-Bounds Read in der Windows-GDI-Grafikkomponente erlaubt einem nicht authentifizierten Angreifer über das Netzwerk, Informationen offenzulegen. Laut CNA-Eintrag ist keine Benutzerinteraktion nötig, die CVSS-Bewertung unterscheidet sich jedoch je nach Quelle (7.5 oder 6.5). Die Auswirkungen beschränken sich auf die Vertraulichkeit; Integrität und Verfügbarkeit sind nicht betroffen.

Betroffen

• Windows 10 Version 1607 (Builds unter 10.0.14393.9612)
• Windows 10 Version 1809 (unter 10.0.17763.9376)
• Windows 10 Version 21H2 (unter 10.0.19044.7807)
• Windows 10 Version 22H2 (unter 10.0.19045.7807)
• Windows 11 Version 23H2 (unter 10.0.22631.7652)
• Windows 11 Version 24H2 (unter 10.0.26100.9711)
• Windows 11 Version 25H2 (unter 10.0.26200.9711)
• Windows 11 Version 26H1 (unter 10.0.28000.3231)
• Windows 11 Version 26H2 (unter 10.0.26300.9711)
• Windows Server 2012 (unter 6.2.9200.26434)
• Windows Server 2012 R2 (unter 6.3.9600.23470)
• Windows Server 2016 (unter 10.0.14393.9612)

Hinweis: Der CPE-Eintrag in der NVD nennt nur Windows 10 1607; der CNA-Eintrag umfasst die oben aufgeführte, breitere Liste.

Behoben in

• Windows 10 1607 und Windows Server 2016: Build 10.0.14393.9612 (KB5126868, Oktober-2026-Update, laut Known-Issues-Seite von Microsoft)
• Weitere Produkte: Die korrigierte Version ist die jeweils in der obigen Liste als Obergrenze genannte Versionsnummer. Auf MSRC überprüfen.

Umgehung

• Keine vom Hersteller veröffentlichte Workaround-Massnahme bekannt. Das Update für den jeweiligen Build installieren.
• Geräte, die nicht gepatcht werden können, isolieren und einschränken, welche Systeme sie erreichen können. Dies ist eine Empfehlung, keine Herstellervorgabe.

Ausnutzung

• CISA SSVC (via ADP): Exploitation none, nicht automatisierbar, partielle technische Auswirkung.
• EPSS etwa 0,91 %.
• Kein öffentlicher Proof of Concept und keine Berichte über Ausnutzung in freier Wildbahn gefunden. KEV-Status nicht überprüft.

Unsere Empfehlung

• Betroffene Systeme auf den korrigierten Build der jeweiligen Version patchen; Windows 10 1607 und Server 2016 (Build 10.0.14393.9612, KB5126868) priorisieren.
• Auf lokalen Exchange-Servern zuerst testen: Ein bekanntes Problem nach KB5126868 betraf auf einigen Servern OWA und den Versand von E-Mails.
• Windows 10 Enterprise LTSB 2016 hat am 13. Oktober 2026 das Ende der Updates erreicht. Migration auf Windows 11 Enterprise LTSC 2024 planen oder die kostenpflichtigen Extended Security Updates (ESU) prüfen.
• Die NVD-Bewertung (7.5 gegenüber 6.5) und den KEV-Status überprüfen und mit dem höheren Wert planen.
• Geräte, die nicht gepatcht werden können, isolieren und überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-85797 msrc.microsoft.com
• Microsoft Learn: Windows 10 1607 and Windows Server 2016 release health learn.microsoft.com
• Vulners: CVE-2026-85797 vulners.com
• OpenCVE: CVE-2026-85797 app.opencve.io
• Strix: CVE-2026-85797 www.strix.ai
• Safeguard: CVE-2026-85797 Windows GDI out-of-bounds read safeguard.sh
• 4sysops: Windows 10 Enterprise LTSB 2016 end of support and ESU 4sysops.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 18:35.