Microsoft Windows: Heap-Overflow in Scripting Engine erlaubt lokale Rechteerweiterung

Zusammenfassung

Die Komponente Microsoft Scripting Engine von Windows enthält einen Heap-basierten Pufferüberlauf (CWE-122), der als CVE-2026-88193 erfasst ist. Ein Angreifer mit lokalem Zugriff und niedrigen Berechtigungen kann diesen ausnutzen, um seine Privilegien zu erweitern, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Die Lücke ist nicht direkt aus dem Internet erreichbar und setzt einen Zugriffspunkt auf dem System voraus, etwa ein kompromittiertes Benutzerkonto oder Schadsoftware.

Betroffen

• Windows 10 Version 1607 (Builds 10.0.14393.0 bis vor 10.0.14393.9612)
• Windows 10 Version 1809 (Builds vor 10.0.17763.9376)
• Windows 10 Version 21H2 (Builds vor 10.0.19044.7807)
• Windows 10 Version 22H2 (Builds vor 10.0.19045.7807)
• Windows 11 Version 23H2 (Builds vor 10.0.22631.7652)
• Windows 11 Version 24H2 (Builds vor 10.0.26100.9711)
• Windows 11 Version 25H2 (Builds vor 10.0.26200.9711)
• Windows 11 Version 26H1 (Builds vor 10.0.28000.3231)
• Windows 11 Version 26H2 (Builds vor 10.0.26300.9711)
• Windows Server 2012 und Server Core (Builds vor 6.2.9200.26434)
• Windows Server 2012 R2 und Server Core (Builds vor 6.3.9600.23470)
• Windows Server 2016 (Builds vor 10.0.14393.9612)
• Versionsbereiche gemäss CNA-Eintrag; vor dem Rollout auf MSRC prüfen.

Behoben in

• Sicherheitsupdate für jeden aufgeführten Build, wie im Microsoft-Advisory angegeben.
• Korrigierte Builds gemäss CNA-Eintrag: 10.0.14393.9612 (1607 und Server 2016), 10.0.17763.9376 (1809), 10.0.19044.7807 (21H2), 10.0.19045.7807 (22H2), 10.0.22631.7652 (23H2), 10.0.26100.9711 (24H2), 10.0.26200.9711 (25H2), 10.0.28000.3231 (26H1), 10.0.26300.9711 (26H2), 6.2.9200.26434 (Server 2012), 6.3.9600.23470 (Server 2012 R2).
• Konkrete KB-Artikelnummern für Windows 10 1607: Unbekannt.

Umgehung

Unbekannt. In den geprüften Quellen wurde kein Workaround gefunden. Sicherheitsupdate installieren.

Ausnutzung

• CISA SSVC: Exploitation none, nicht automatisierbar, technische Auswirkung total.
• Nicht im CISA-KEV-Katalog aufgeführt.
• EPSS-Wert ca. 0.30%.
• Bei den durchgeführten Recherchen wurde kein öffentlicher Proof of Concept gefunden; dies schliesst nicht aus, dass später einer auftaucht.

Unsere Empfehlung

• Alle Windows-Geräte und Server inventarisieren, einschliesslich Windows 10 1607 und Server 2016, und prüfen, ob sie noch unterstützt werden.
• Das Sicherheitsupdate von Oktober 2026 von Microsoft für jeden Build installieren und neu starten.
• Mehrbenutzersysteme wie Terminal-Server, Dateiserver und Server 2016 priorisieren.
• Nicht mehr unterstützte Windows-10-1607-Systeme nach Möglichkeit ausser Betrieb nehmen.
• Exploitation-Status (KEV, öffentlicher PoC) im nächsten Patch-Zyklus erneut prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide (MSRC advisory) msrc.microsoft.com
• CNA record mirror (Vulners) vulners.com
• OpenCVE CVE-2026-88193 app.opencve.io
• Strix aggregator CVE-2026-88193 www.strix.ai
• Vulners VulnRichment CVE-2026-88193 vulners.com
• CVSS/EPSS aggregator (CVEdetails) www.cvedetails.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 01:07.