Microsoft Windows: Heap-basierter Pufferüberlauf im Desktop Window Manager

Zusammenfassung

Der Desktop Window Manager, die Windows-Komponente, die den Desktop zusammensetzt, enthält einen heap-basierten Pufferüberlauf (CWE-122), der eine Rechteerweiterung ermöglicht. Betroffen sind unter anderem Windows 10 Version 1809, 21H2 und 22H2, Windows 11 (23H2 bis 26H2) sowie Windows Server 2019, 2022 und 2025. Ein lokaler Angreifer mit niedrigen Berechtigungen kann die Schwachstelle ausnutzen, um SYSTEM-Rechte zu erlangen, was die volle Kontrolle über das betroffene System ermöglicht. Der Angreifer benötigt eine lokale Sitzung auf dem Gerät, zum Beispiel über ein Benutzerkonto oder eine bereits laufende Schadsoftware.

Betroffen

• Windows 10 Version 1809 und Windows Server 2019 (inklusive Server Core): Builds vor 10.0.17763.9376
• Windows 10 Version 21H2: Builds vor 10.0.19044.7807
• Windows 10 Version 22H2: Builds vor 10.0.19045.7807 (der CNA-Eintrag nennt hier einen 21H2-Build, vermutlich ein Tippfehler; in der MSRC-Tabelle prüfen)
• Windows 11 Version 23H2: Builds vor 10.0.22631.7652
• Windows 11 Version 24H2: Builds vor 10.0.26100.9711
• Windows 11 Version 25H2: Builds vor 10.0.26200.9711
• Windows 11 Version 26H1: Builds vor 10.0.28000.3231
• Windows 11 Version 26H2: Builds vor 10.0.26300.9711
• Windows Server 2022: Builds vor 10.0.20348.5761
• Windows Server 2025 (inklusive Server Core): Builds vor 10.0.26100.33650 (ein Drittanbieter-Spiegel nennt einen anderen Wert; in der MSRC-Tabelle prüfen)

Behoben in

• Behoben in den Sicherheitsupdates vom Oktober 2026. Gemäss CNA-Eintrag: Windows 10 1809 und Server 2019 ab 10.0.17763.9376; 21H2 ab 10.0.19044.7807; Windows 11 23H2 ab 10.0.22631.7652; 24H2 ab 10.0.26100.9711; 25H2 ab 10.0.26200.9711; 26H1 ab 10.0.28000.3231; 26H2 ab 10.0.26300.9711; Server 2022 ab 10.0.20348.5761; Server 2025 ab 10.0.26100.33650.
• Behobener Build für 22H2: in den Quellen unklar; in der MSRC-Tabelle prüfen.
• Von Drittanbietern genannte Knowledge-Base-Nummern (KB5126651 für 1809/Server 2019, KB5126646 für Server 2025) sind von Microsoft nicht bestätigt.

Umgehung

Unbekannt. Es wurde keine dokumentierte Workaround-Massnahme gefunden; das Sicherheitsupdate ist zu installieren.

Ausnutzung

• Microsoft gibt an, dass die Schwachstelle nicht öffentlich bekannt und nicht als aktiv ausgenutzt bekannt ist.
• CISA SSVC: Ausnutzung keine, nicht automatisierbar.
• Nicht im CISA-KEV-Katalog aufgeführt.
• EPSS unter 1%.
• Kein öffentlicher Proof of Concept gefunden.
• Eine Marktschätzung des Exploit-Preises existiert, dies ist jedoch kein Beleg für eine Ausnutzung in freier Wildbahn.

Unsere Empfehlung

• Das Sicherheitsupdate vom Oktober 2026 auf allen betroffenen Windows-10-, Windows-11- und Windows-Server-Systemen installieren, zuerst auf Windows 10 1809 und Server 2019, die veraltet sind und hoch priorisiert werden sollten.
• Gemeinsam genutzte Arbeitsstationen, RDP- und Terminalserver sowie Systeme, auf denen Benutzer unbekannte Dateien oder Browserinhalte öffnen, zuerst patchen.
• Den behobenen Build jedes Systems anhand der MSRC-Tabelle prüfen, nicht nur anhand von Drittanbieterdaten.
• Prüfen, ob Windows 10 1809 noch im Supportzeitraum von Microsoft liegt.
• Endpunkte auf ungewöhnliche Rechteerweiterungen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide: CVE-2026-88093 msrc.microsoft.com
• Vulners: CNA JSON for CVE-2026-88093 vulners.com
• VulDB: CVE-2026-88093 vuldb.com
• OpenCVE: CVE-2026-88093 app.opencve.io
• Qualys: Microsoft Patch Tuesday October 2026 blog.qualys.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 01:26.