Microsoft Windows: Out-of-Bounds-Read in Graphic Fonts (Informationsoffenlegung)

Zusammenfassung

Ein Out-of-Bounds-Read in der Komponente Graphic Fonts von Windows erlaubt einem berechtigten Angreifer, über das Netzwerk Speicherinhalte auszulesen und Informationen offenzulegen. Der CVSS-Vektor setzt niedrige Berechtigungen und eine Benutzerinteraktion voraus und bewertet nur die Vertraulichkeit als hoch betroffen. Microsoft stuft die Schwachstelle als wichtig ein; es wurde keine Ausnutzung oder öffentlicher Proof of Concept gemeldet.

Betroffen

• Windows 10 Version 1607 und Windows Server 2016 (inklusive Server Core): vor 10.0.14393.9688
• Windows 10 Version 1809 und Windows Server 2019 (inklusive Server Core): vor 10.0.17763.9487
• Windows 10 Version 21H2: vor 10.0.19044.7846
• Windows 10 Version 22H2: vor 10.0.19045.7846
• Windows 11 Version 23H2: vor 10.0.22631.7711
• Windows 11 Version 24H2: vor 10.0.26100.9974
• Windows 11 Version 25H2 und 26H2: vor 10.0.26200.9974 bzw. 10.0.26300.9974
• Windows 11 Version 26H1: vor 10.0.28000.3501
• Windows Server 2022: vor 10.0.20348.5870
• Windows Server 2025: unverifiziert (der von einem Drittanbieter-Aggregator genannte Build widerspricht dem CVE-Eintrag)

Behoben in

Sicherheitsupdate, veröffentlicht mit dem Patchday vom November 2026, für die oben genannten Builds. KB-Artikelnummern unbekannt; bitte im MSRC-Advisory prüfen.

Umgehung

Unbekannt. In den geprüften Quellen wird keine Workaround-Massnahme beschrieben. Das MSRC-Advisory auf dokumentierte Abhilfemassnahmen prüfen.

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn oder auf einen öffentlichen Proof of Concept gefunden.
• CISA SSVC: Ausnutzung keine, nicht automatisierbar.
• Rapid7: Ausnutzung weniger wahrscheinlich, nicht öffentlich bekannt.
• Ob CISA diese CVE in den KEV-Katalog aufgenommen hat, ist unverifiziert.

Unsere Empfehlung

• Das kumulative Sicherheitsupdate vom November 2026 auf alle betroffenen Windows-10-, Windows-11- und Server-Systeme einspielen.
• Den installierten Build gegen die MSRC-Liste der korrigierten Builds prüfen, da die Produktliste nicht vollständig verifiziert ist.
• Bei Windows-10-Builds nach Supportende den Status der Extended Security Updates prüfen.
• Priorisierung nach dem Outlook-Zero-Day sowie den Graphic-Fonts-Schwachstellen zur Rechteerweiterung und Remote Code Execution aus demselben Patchday.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-88211 msrc.microsoft.com
• CVE Record CVE-2026-88211 www.cve.org
• Strix: CVE-2026-88211 www.strix.ai
• Cybersecuritynews: Microsoft November 2026 Patch Tuesday cybersecuritynews.com
• Rapid7: Patch Tuesday November 2026 www.rapid7.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 15:46.