Windows: Heapbasierter Pufferüberlauf in Win32k GRFX ermöglicht lokale Rechteausweitung

Zusammenfassung

Ein heapbasierter Pufferüberlauf in der Windows Graphics Component (GRFX) von Win32k erlaubt einem berechtigten lokalen Angreifer, seine Rechte zu erweitern. Der Angreifer benötigt lokale Codeausführung oder ein gültiges Konto mit niedrigen Rechten, zum Beispiel nach Phishing-Malware oder einem gestohlenen Passwort. Eine erfolgreiche Ausnutzung könnte die Vertraulichkeit, Integrität und Verfügbarkeit des betroffenen Systems vollständig kompromittieren. Microsoft hat Korrekturen für die betroffenen Windows-Versionen veröffentlicht.

Betroffen

• Windows 10 Version 1607: 10.0.14393.0 bis < 10.0.14393.9612
• Windows 10 Version 1809: 10.0.17763.0 bis < 10.0.17763.9376
• Windows 10 Version 21H2: 10.0.19044.0 bis < 10.0.19044.7807
• Windows 10 Version 22H2: 10.0.19045.0 bis < 10.0.19045.7807
• Windows 11 Version 23H2: 10.0.22631.0 bis < 10.0.22631.7652
• Windows 11 Version 24H2: 10.0.26100.0 bis < 10.0.26100.9711
• Windows 11 Version 25H2: 10.0.26200.0 bis < 10.0.26200.9711
• Windows 11 Version 26H1: 10.0.28000.0 bis < 10.0.28000.3231
• Windows 11 Version 26H2: 10.0.26300.0 bis < 10.0.26300.9711
• Windows Server 2012: 6.2.9200.0 bis < 6.2.9200.26434
• Gemäss CVE-Eintrag ebenfalls betroffen: Office 365 für Mac, Office LTSC für Mac 2021 und 2024, Office für Android

Behoben in

• Windows 10 Version 1607: 10.0.14393.9612
• Windows 10 Version 1809: 10.0.17763.9376
• Windows 10 Version 21H2: 10.0.19044.7807
• Windows 10 Version 22H2: 10.0.19045.7807
• Windows 11 Version 23H2: 10.0.22631.7652
• Windows 11 Version 24H2: 10.0.26100.9711
• Windows 11 Version 25H2: 10.0.26200.9711
• Windows 11 Version 26H1: 10.0.28000.3231
• Windows 11 Version 26H2: 10.0.26300.9711
• Windows Server 2012: 6.2.9200.26434
• Office für Mac: 16.114.26101123 oder neuer
• Office für Android: 16.0.20430.20000 oder neuer
• KB-Nummern: Unbekannt für Windows 10 1607; sie sind dem MSRC-Advisory zu entnehmen

Umgehung

Unbekannt. In den geprüften Quellen wurde keine Workaround oder Massnahme dokumentiert. Das Einspielen des Herstellerupdates ist die einzige unterstützte Behebung.

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn oder auf einen öffentlichen Proof of Concept gefunden
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total
• EPSS-Wert zum Zeitpunkt der Erfassung etwa 0,0036
• Status im CISA-KEV-Katalog nicht verifiziert

Unsere Empfehlung

• Alle Windows-10-1607-Hosts und weitere betroffene Systeme inventarisieren
• Die im MSRC-Advisory genannten Fix-Builds so rasch wie möglich installieren
• Migration weg von Windows 10 1607 planen und den Supportende-Zeitpunkt auf der Microsoft-Lifecycle-Seite prüfen
• Lokale Anmeldung auf gemeinsam genutzten PCs, Terminalservern und Kiosken einschränken
• Auf ungewöhnliche Rechteausweitungen überwachen und den CISA-KEV-Katalog prüfen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Response Center advisory CVE-2026-85908 msrc.microsoft.com
• NVD record mirrored on Vulners vulners.com
• VulDB entry CVE-2026-85908 vuldb.com
• Talos: Microsoft Patch Tuesday October 2026 blog.talosintelligence.com
• Strix CVE page CVE-2026-85908 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 01:46.