Microsoft Windows: Rechteausweitung in Winlogon durch Heap-based Buffer Overflow

Zusammenfassung

Ein Heap-based Buffer Overflow in der Windows-Anmeldekomponente Winlogon erlaubt einem Angreifer mit lokalem Zugang und niedrigen Berechtigungen, seine Rechte zu erweitern. Ein erfolgreicher Angriff kann hohe Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit haben. Es ist keine Benutzerinteraktion nötig, und die Schwachstelle ist nicht aus dem Internet erreichbar. Microsoft führt die Schwachstelle als nicht ausgenutzt.

Betroffen

• Windows 10 Version 1607 (10.0.14393.0 bis < 10.0.14393.9612)
• Windows 10 Version 1809 (10.0.17763.0 bis < 10.0.17763.9376)
• Windows 10 Version 21H2 (10.0.19044.0 bis < 10.0.19044.7807)
• Windows 10 Version 22H2 (10.0.19045.0 bis < 10.0.19045.7807)
• Windows 11 Version 23H2 (10.0.22631.0 bis < 10.0.22631.7652)
• Windows 11 Version 24H2 (10.0.26100.0 bis < 10.0.26100.9711)
• Windows 11 Version 25H2 (10.0.26200.0 bis < 10.0.26200.9711)
• Windows 11 Version 26H1 (10.0.28000.0 bis < 10.0.28000.3231)
• Windows 11 Version 26H2 (10.0.26300.0 bis < 10.0.26300.9711)
• Windows Server 2012 und Server-Core-Installation (6.2.9200.0 bis < 6.2.9200.26434)
• Windows Server 2012 R2 und Server-Core-Installation (6.3.9600.0 bis < 6.3.9600.23470)
• Windows Server 2016 (10.0.14393.0 bis < 10.0.14393.9612)

Behoben in

• Windows 10 Version 1607: 10.0.14393.9612 oder neuer
• Windows 10 Version 1809: 10.0.17763.9376 oder neuer
• Windows 10 Version 21H2: 10.0.19044.7807 oder neuer
• Windows 10 Version 22H2: 10.0.19045.7807 oder neuer
• Windows 11 Version 23H2: 10.0.22631.7652 oder neuer
• Windows 11 Version 24H2: 10.0.26100.9711 oder neuer
• Windows 11 Version 25H2: 10.0.26200.9711 oder neuer
• Windows 11 Version 26H1: 10.0.28000.3231 oder neuer
• Windows 11 Version 26H2: 10.0.26300.9711 oder neuer
• Windows Server 2012: 6.2.9200.26434 oder neuer
• Windows Server 2012 R2: 6.3.9600.23470 oder neuer
• Windows Server 2016: 10.0.14393.9612 oder neuer
• Die KB-Nummer ist unbekannt; prüfen Sie das Microsoft Security Update Guide.

Umgehung

Unbekannt. Es ist keine vom Hersteller dokumentierte Massnahme bekannt. Die Installation des Sicherheitsupdates ist die Abhilfe.

Ausnutzung

• Microsoft gibt an, dass die Schwachstelle nicht ausgenutzt wird.
• Microsoft stuft die Reife des Exploit-Codes als Unproven ein.
• Der EPSS-Wert ist sehr niedrig (0.00318).
• In der Recherche wurde kein öffentlich verfügbarer Proof-of-Concept-Exploit gefunden. Dies beweist nicht, dass keiner existiert.
• Eintrag im CISA-KEV-Katalog: nicht geprüft.

Unsere Empfehlung

• Installieren Sie das neueste Microsoft-Sicherheitsupdate auf allen betroffenen Windows-Systemen, zuerst auf Windows 10 Version 1607 sowie Windows Server 2012 bis 2016.
• Prüfen Sie den Lifecycle-Status von Windows 10 Version 1607 und Windows Server 2012. Nicht mehr unterstützte Systeme erhalten diese und künftige Korrekturen nicht und sollten aktualisiert werden.
• Beschränken Sie die lokale Anmeldung auf Servern und begrenzen Sie lokale Konten auf das Nötige.
• Überwachen Sie ungewöhnliche Berechtigungsänderungen und neue lokale Administratorkonten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-87699 msrc.microsoft.com
• OpenCVE: CVE-2026-87699 app.opencve.io
• Vulners (CVE list): CVE-2026-87699 vulners.com
• OffSeq: CVE-2026-87699 Windows 10 1607 radar.offseq.com
• Strix: CVE-2026-87699 www.strix.ai
• Vulners (CIRCL): CVE-2026-87699 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 01:37.