Microsoft Windows BITS: Heap-basierter Pufferüberlauf ermöglicht lokale Rechteerweiterung

Zusammenfassung

Ein heap-basierter Pufferüberlauf im Windows Background Intelligent Transfer Service (BITS) erlaubt einem berechtigten lokalen Benutzer mit niedrigen Rechten, seine Privilegien zu erweitern. Ein erfolgreicher Angriff hätte eine hohe Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit des betroffenen Systems. Der Angriff setzt lokalen Zugriff und ein gültiges Konto mit niedrigen Rechten voraus, weshalb er nicht direkt aus dem Internet erreichbar ist.

Betroffen

• Microsoft Windows 10 Version 1607 (10.0.14393.0 bis vor 10.0.14393.9612)
• Microsoft Windows 10 Version 1809 (10.0.17763.0 bis vor 10.0.17763.9376)
• Microsoft Windows 10 Version 21H2 (10.0.19044.0 bis vor 10.0.19044.7807)
• Microsoft Windows 10 Version 22H2 (10.0.19045.0 bis vor 10.0.19045.7807)
• Microsoft Windows 11 Version 23H2 (10.0.22631.0 bis vor 10.0.22631.7652)
• Microsoft Windows 11 Version 24H2 (10.0.26100.0 bis vor 10.0.26100.9711)
• Microsoft Windows 11 Version 25H2 (10.0.26200.0 bis vor 10.0.26200.9711)
• Microsoft Windows 11 Version 26H1 (10.0.28000.0 bis vor 10.0.28000.3231)
• Microsoft Windows 11 Version 26H2 (10.0.26300.0 bis vor 10.0.26300.9711)
• Microsoft Windows Server 2012 und Server-Core-Installation (6.2.9200.0 bis vor 6.2.9200.26434)
• Microsoft Windows Server 2012 R2 und Server-Core-Installation (6.3.9600.0 bis vor 6.3.9600.23470)
• Microsoft Windows Server 2016 (10.0.14393.0 bis vor 10.0.14393.9612)
• Die CPE-Daten nennen nur Windows 10 1607; der CVE-Eintrag nennt die oben aufgeführten Produkte.

Behoben in

• Windows 10 Version 1607 und Server 2016: 10.0.14393.9612 (laut Aggregator-Daten; auf der MSRC-Seite prüfen)
• Windows 10 Version 1809: 10.0.17763.9376
• Windows 10 Version 21H2: 10.0.19044.7807
• Windows 10 Version 22H2: 10.0.19045.7807
• Windows 11 Version 23H2: 10.0.22631.7652
• Windows 11 Version 24H2 und 25H2: 10.0.26100.9711 und 10.0.26200.9711
• Windows 11 Version 26H1: 10.0.28000.3231
• Windows 11 Version 26H2: 10.0.26300.9711
• Windows Server 2012 und 2012 R2: 6.2.9200.26434 und 6.3.9600.23470
• KB-Nummern für Windows 10 1607: Unbekannt. Im MSRC-Advisory prüfen.

Umgehung

• Der CVE-Eintrag und die Daten von Microsoft nennen keinen Workaround.
• Zwischenlösung (Vorschlag eines Drittanbieters, nicht von Microsoft): BITS auf vertrauenswürdige Verwendung beschränken oder den BITS-Dienst dort deaktivieren, wo keine Hintergrundübertragungen benötigt werden. Vorher testen, da Windows Update und andere Software von BITS abhängen können.

Ausnutzung

• Ausnutzung in freier Wildbahn: für diese CVE nicht bestätigt. CISA SSVC bewertet die Ausnutzung als keine.
• Öffentlicher Proof of Concept: keiner bekannt. VulDB gibt an, dass kein Exploit verfügbar ist.
• EPSS lag Mitte Oktober 2026 bei etwa 0,37 Prozent, was auf eine geringe vorhergesagte Ausnutzung hinweist.

Unsere Empfehlung

• Das Microsoft-Sicherheitsupdate vom Oktober 2026 auf allen betroffenen Systemen installieren, Server und Mehrbenutzersysteme zuerst.
• Vor dem Rollout die gepatchte Version und die KB-Nummer für die eigene Edition auf der MSRC-Seite bestätigen.
• Prüfen, ob Windows 10 1607 (LTSB 2016) noch Updates erhält; falls nicht, Upgrade planen oder das System isolieren.
• Lokale Anmelderechte einschränken und auf ungewöhnliche Rechteerweiterungen oder BITS-Aktivitäten achten.
• Den CISA-KEV-Katalog auf Änderungen des Ausnutzungsstatus prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-85848 msrc.microsoft.com
• VulDB: CVE-2026-85848 vuldb.com
• Vulners NVD entry: CVE-2026-85848 vulners.com
• Vulners MSCVE entry: MS:CVE-2026-85848 vulners.com
• OpenCVE: CVE-2026-85848 app.opencve.io
• Strix: CVE-2026-85848 www.strix.ai
• Qualys Patch Tuesday October 2026 review blog.qualys.com
• Vulnrichment: CVE-2026-85848 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 02:02.