Microsoft Windows: Heap-basierter Pufferüberlauf in UI Immersive Server API

Zusammenfassung

Ein heap-basierter Pufferüberlauf in der Windows UI Immersive Server API erlaubt einem Angreifer mit lokalem Zugriff und niedrigen Berechtigungen, seine Rechte auf dem betroffenen System zu erweitern. Der CVSS-Vektor hat einen geänderten Scope (S:C), wodurch sich die Auswirkungen über die verwundbare Komponente hinaus erstrecken können. Die Ausnutzung erfordert einen lokal angemeldeten, authentifizierten Benutzer und ist über das Netzwerk nicht möglich. Microsoft stuft den Schweregrad als Important ein und meldet keine öffentliche Bekanntgabe.

Betroffen

• Windows 10 Version 1607 (Builds vor 10.0.14393.9612)
• Windows 10 Version 1809 (Builds vor 10.0.17763.9376)
• Windows 10 Version 21H2 (Builds vor 10.0.19044.7807)
• Windows 10 Version 22H2 (Builds vor 10.0.19045.7807)
• Windows 11 Version 23H2 (Builds vor 10.0.22631.7652)
• Windows 11 Version 24H2 (Builds vor 10.0.26100.9711)
• Windows 11 Version 25H2 (Builds vor 10.0.26200.9711)
• Windows 11 Version 26H1 (Builds vor 10.0.28000.3231)
• Windows 11 Version 26H2 (Builds vor 10.0.26300.9711)
• Windows Server 2012 und Server-Core-Installation (Builds vor 6.2.9200.26434)
• Windows Server 2012 R2 und Server-Core-Installation (Builds vor 6.3.9600.23470)
• Windows Server 2016 (Builds vor 10.0.14393.9612)

Hinweis: Das CPE in der NVD listet nur Windows 10 1607. Massgebend ist die Produkttabelle im MSRC-Advisory.

Behoben in

• Installieren Sie das Oktober-2026-Sicherheitsupdate von Microsoft für jeden betroffenen Build (korrigierte Builds gemäss Abschnitt betroffene Versionen).
• Genaue KB-Nummern: siehe MSRC-Advisory. Sekundärquellen nennen KB5126651 (Windows 10 1809 / Server 2019) und KB5126646 (Server 2025); diese wurden nicht gegen MSRC verifiziert.
• Sekundärquellen widersprechen sich bei einigen korrigierten Builds (zum Beispiel Windows 11 24H2). Prüfen Sie den Build pro Produkt in der MSRC-Tabelle.

Umgehung

Unbekannt.

Ausnutzung

• Öffentlich bekannt: Nein (laut Microsoft).
• Reifegrad des Exploit-Codes: unbewiesen (temporaler Vektor E:U).
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
• EPSS-Wert ist niedrig (0.00318).
• Bei der Recherche wurde kein öffentlicher Proof-of-Concept gefunden. Der Status im CISA-KEV-Katalog ist nicht bestätigt; prüfen Sie den Katalog direkt.

Unsere Empfehlung

• Patchen Sie alle betroffenen Windows-Systeme im Oktober-2026-Zyklus, beginnend mit Mehrbenutzersystemen wie Terminalservern (RDS), gemeinsam genutzten Arbeitsstationen und Kiosken.
• Prüfen Sie, ob noch Windows-10-1607- oder Server-2016-Systeme im Einsatz sind, und klären Sie deren Supportstatus anhand der Lifecycle-Seiten von Microsoft.
• Wenn das Patchen verzögert wird, beschränken Sie die lokale Anmeldung auf vertrauenswürdige Benutzer und überwachen Sie privilegierte Aktivitäten.
• Prüfen Sie vor dem Rollout im MSRC-Advisory den genauen korrigierten Build pro Produkt.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-85905 msrc.microsoft.com
• Vulners NVD mirror: CVE-2026-85905 vulners.com
• Vulners VulnCheck/EPSS data: CVE-2026-85905 vulners.com
• Strix AI mirror: CVE-2026-85905 www.strix.ai
• OpenCVE: CVE-2026-85905 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 18:18.