Windows: Use-after-free in Direct Composition ermöglicht lokale Rechteerweiterung

Zusammenfassung

Mehrere unterstützte Versionen von Windows 10, Windows 11 und Windows Server enthalten in der Grafikkomponente Windows Direct Composition einen Use-after-free-Fehler (CWE-416). Ein lokaler Benutzer mit niedrigen Rechten kann diesen ausnutzen, um höhere Rechte zu erlangen, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Der Angreifer benötigt eine bestehende lokale Anmeldung, es ist keine Benutzerinteraktion nötig, und die Schwachstelle ist nicht direkt aus dem Internet erreichbar. Eine bekannte Ausnutzung oder öffentlicher Exploit-Code wird nicht gemeldet.

Betroffen

• Windows 10 Version 21H2: 10.0.19044.0 bis vor 10.0.19044.7807
• Windows 10 Version 22H2: 10.0.19045.0 bis vor 10.0.19045.7807
• Windows 11 Version 23H2: 10.0.22631.0 bis vor 10.0.22631.7652
• Windows 11 Version 24H2: 10.0.26100.0 bis vor 10.0.26100.9711
• Windows 11 Version 25H2: 10.0.26200.0 bis vor 10.0.26200.9711
• Windows 11 Version 26H1: 10.0.28000.0 bis vor 10.0.28000.3231
• Windows 11 Version 26H2: 10.0.26300.0 bis vor 10.0.26300.9711
• Windows Server 2022: 10.0.20348.0 bis vor 10.0.20348.5761
• Windows Server 2025 (inklusive Server Core): 10.0.26100.0 bis vor 10.0.26100.33650

Behoben in

• Windows 10 Version 21H2: 10.0.19044.7807 oder neuer
• Windows 10 Version 22H2: 10.0.19045.7807 oder neuer
• Windows 11 Version 23H2: 10.0.22631.7652 oder neuer
• Windows 11 Version 24H2: 10.0.26100.9711 oder neuer
• Windows 11 Version 25H2: 10.0.26200.9711 oder neuer
• Windows 11 Version 26H1: 10.0.28000.3231 oder neuer
• Windows 11 Version 26H2: 10.0.26300.9711 oder neuer
• Windows Server 2022: 10.0.20348.5761 oder neuer
• Windows Server 2025: 10.0.26100.33650 oder neuer

Die Korrektur wird mit dem kumulativen Update bereitgestellt. Die Build-Nummern und KB-Artikel vor der Verteilung in der MSRC-Tabelle prüfen.

Umgehung

Unbekannt. Kein Workaround des Herstellers gefunden. Die Korrektur ist das kumulative Update.

Ausnutzung

• Ausnutzung in freier Wildbahn: keine Hinweise gefunden.
• Öffentlicher Proof-of-Concept: keiner gefunden.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• EPSS-Wert: 0.00348 (niedrig).

Unsere Empfehlung

• Das kumulative Update vom September/Oktober 2026 (MSRC-KB-Artikel für die jeweilige Windows-Version) auf allen betroffenen Geräten installieren.
• Windows 10 Version 21H2 benötigt die Anmeldung für Extended Security Updates (ESU); den ESU-Status jedes Geräts prüfen.
• Mehrbenutzersysteme wie Terminal-, RDS-Server und gemeinsam genutzte Arbeitsstationen priorisieren.
• Die Ablösung von Windows-10-Geräten ohne Support planen.
• Lokale Konten und nicht vertrauenswürdigen Code auf gemeinsam genutzten Geräten einschränken.
• Die MSRC-Seite und den CISA-KEV-Katalog auf Änderungen beim Ausnutzungsstatus überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide: CVE-2026-85906 msrc.microsoft.com
• vulners NVD listing: CVE-2026-85906 vulners.com
• Strix: CVE-2026-85906 www.strix.ai
• OpenCVE: CVE-2026-85906 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 01:45.