Microsoft Windows Media Foundation: Remote Code Execution durch Heap-basierten Pufferüberlauf

Zusammenfassung

Ein Heap-basierter Pufferüberlauf in der Komponente Windows Media Foundation erlaubt einem nicht authentifizierten Angreifer, über das Netzwerk Code auszuführen. Der CVSS-3.1-Basiswert beträgt 9.8 (kritisch), und der Vektor erfordert keine Berechtigungen und keine Benutzerinteraktion. Microsoft hat Sicherheitsupdates veröffentlicht; zum Zeitpunkt der Recherche wurde weder eine Ausnutzung in freier Wildbahn noch ein öffentlicher Proof-of-Concept gefunden.

Betroffen

• Windows 10 Version 1607 und Windows Server 2016 (Build unterhalb 10.0.14393.9612)
• Windows 10 Version 1809 (Build unterhalb 10.0.17763.9376)
• Windows 10 Version 21H2 (Build unterhalb 10.0.19044.7807)
• Windows 10 Version 22H2 (Build unterhalb 10.0.19045.7807)
• Windows 11 Version 23H2 (Build unterhalb 10.0.22631.7652)
• Windows 11 Version 24H2 (Build unterhalb 10.0.26100.9711)
• Windows 11 Version 25H2 und 26H2 (Build unterhalb 10.0.26200.9711 bzw. 10.0.26300.9711)
• Windows 11 Version 26H1 (Build unterhalb 10.0.28000.3231)
• Windows Server 2012 und 2012 R2 (Build unterhalb 6.2.9200.26434 bzw. 6.3.9600.23470)

Behoben in

• Sicherheitsupdate vom 13. Oktober 2026 (KB-Artikelnummern pro Version siehe MSRC-Advisory)
• Korrigierte Builds: siehe obige Liste der betroffenen Versionen; den Build für Windows 10 1607 vor der Verteilung auf der MSRC-Seite prüfen

Umgehung

Unbekannt. Es wurde kein vom Hersteller dokumentierter Workaround gefunden; das Einspielen des Patches ist die primäre Massnahme.

Ausnutzung

• CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung total
• Reifegrad des Exploit-Codes laut Microsoft: unbewiesen (Unproven) zum Veröffentlichungszeitpunkt
• Kein öffentlicher Proof-of-Concept gefunden
• Zum Zeitpunkt der Recherche nicht im CISA-KEV-Katalog (Katalog direkt prüfen)

Unsere Empfehlung

• Alle Windows-10-1607-, Windows-Server-2016- und andere Systeme unterhalb der korrigierten Builds inventarisieren
• Das Oktober-2026-Sammelupdate installieren und KB-Nummer und Build auf der MSRC-Seite prüfen
• Systeme, die nicht gepatcht werden können, isolieren und den Netzwerkzugriff auf sie einschränken
• Prüfen, ob Windows 10 1607 und Server 2016 noch unterstützt werden und Updates erhalten
• CISA KEV und Herstellerhinweise auf Änderungen des Ausnutzungsstatus überwachen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC advisory CVE-2026-85814 msrc.microsoft.com
• Vulners NVD mirror CVE-2026-85814 vulners.com
• GitHub alert (KEV status snapshot) github.com
• OpenCVE CVE record details app.opencve.io
• ZDI October 2026 security update review www.zerodayinitiative.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 18:26.