Microsoft Windows: Heap-Overflow in Direct Composition ermöglicht Rechteausweitung

Zusammenfassung

Ein heap-basierter Pufferüberlauf in der Windows-Komponente Direct Composition erlaubt einem Angreifer mit einem Konto mit niedrigen Rechten auf dem lokalen System, seine Rechte zu erweitern. Bei einer erfolgreichen Ausnutzung wären Vertraulichkeit, Integrität und Verfügbarkeit des betroffenen Systems stark gefährdet. Die Schwachstelle ist nicht aus dem Internet erreichbar und setzt voraus, dass sich der Angreifer bereits auf dem System festgesetzt hat, beispielsweise durch Phishing oder Schadsoftware.

Betroffen

• Windows 10 Version 1607 (Builds vor 10.0.14393.9612), inklusive Windows Server 2016 und Server-Core-Installationen
• Windows 10 Version 1809 (Builds vor 10.0.17763.9376) und Windows Server 2019, inklusive Server Core
• Windows 10 Version 21H2 (Builds vor 10.0.19044.7807)
• Windows 10 Version 22H2 (Builds vor 10.0.19045.7807)
• Windows 11 Version 23H2 (Builds vor 10.0.22631.7652)
• Windows 11 Version 24H2 (Builds vor 10.0.26100.9711)
• Windows 11 Version 25H2 (Builds vor 10.0.26200.9711)
• Windows 11 Version 26H1 (Builds vor 10.0.28000.3231)
• Windows 11 Version 26H2 (Builds vor 10.0.26300.9711)
• Windows Server 2022 (Builds vor 10.0.20348.5761)

Behoben in

• Windows 10 1607 und Windows Server 2016: 10.0.14393.9612 (gemäss CVE-Eintrag; auf der MSRC-Seite prüfen)
• Windows 10 1809 und Windows Server 2019: 10.0.17763.9376
• Windows 10 21H2: 10.0.19044.7807
• Windows 10 22H2: 10.0.19045.7807
• Windows 11 23H2: 10.0.22631.7652
• Windows 11 24H2: 10.0.26100.9711
• Windows 11 25H2: 10.0.26200.9711
• Windows 11 26H1: 10.0.28000.3231
• Windows 11 26H2: 10.0.26300.9711
• Windows Server 2022: 10.0.20348.5761
• Knowledge-Base-Artikelnummern: Unbekannt für Windows 10 1607 und 22H2; KB5126651 (Windows 10 1809 / Server 2019) wird von einem Drittanbieter genannt, nicht verifiziert.

Umgehung

Unbekannt. Es wurde keine Workaround oder Massnahme des Herstellers gefunden.

Ausnutzung

• Ausnutzung in freier Wildbahn ist nicht bekannt.
• Microsoft stuft die Ausnutzungsreife bei der Veröffentlichung als Unproven ein.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Es wurde kein öffentlicher Proof of Concept gefunden; dies beweist jedoch nicht, dass keiner existiert.

Unsere Empfehlung

• Das Sicherheitsupdate vom Oktober 2026 auf allen betroffenen Systemen installieren; priorisiert Mehrbenutzersysteme, Terminalserver und Server, auf denen sich lokale Benutzer anmelden können.
• Prüfen, ob noch Windows-10-1607- oder Windows-Server-2016-Systeme im Einsatz sind und ob Microsoft diese noch unterstützt; dies auf der Lifecycle-Seite von Microsoft verifizieren. Nicht mehr unterstützte Systeme aktualisieren oder isolieren.
• Vor dem Rollout die genauen Fixed-Builds und Knowledge-Base-Artikel auf der MSRC-Seite prüfen.
• Auf ungewöhnliche lokale Rechteänderungen und neue Administratorkonten achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-85902 msrc.microsoft.com
• Talos: Microsoft Patch Tuesday for October 2026 blog.talosintelligence.com
• OpenCVE: CVE-2026-85902 app.opencve.io
• VulDB: CVE-2026-85902 vuldb.com
• Vulners: NVD record CVE-2026-85902 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 01:48.