Microsoft Windows DirectX: Pufferüberlauf ermöglicht lokale Rechteerweiterung

Zusammenfassung

Ein heap-basierter Pufferüberlauf in den Windows-DirectX-Komponenten ermöglicht einem berechtigten lokalen Benutzer eine Rechteerweiterung, gemäss dem von Microsoft als CNA veröffentlichten CVE-Eintrag. Ein Angreifer benötigt eine lokale Anmeldung mit niedrigen Rechten und keine Benutzerinteraktion; sobald er Code auf dem System ausführen kann, sind die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit hoch. Die Schwachstelle ist für sich allein kein Einstiegspunkt aus dem Netzwerk, daher ist das Risiko auf Mehrbenutzersystemen wie Terminalservern und gemeinsam genutzten Arbeitsstationen am höchsten. Eine öffentliche Ausnutzung ist bisher nicht bestätigt.

Betroffen

• Windows 10 Version 1809 (vor 10.0.17763.9376)
• Windows 10 Version 21H2 (vor 10.0.19044.7807)
• Windows 10 Version 22H2 (vor 10.0.19045.7807)
• Windows 11 Version 23H2 (vor 10.0.22631.7652)
• Windows 11 Version 24H2 (vor 10.0.26100.9711)
• Windows 11 Version 25H2 (vor 10.0.26200.9711)
• Windows 11 Version 26H1 (vor 10.0.28000.3231)
• Windows 11 Version 26H2 (vor 10.0.26300.9711)
• Windows Server 2019, inklusive Server Core (vor 10.0.17763.9376)
• Windows Server 2022 (vor 10.0.20348.5761)
• Windows Server 2025, inklusive Server Core (vor 10.0.26100.33650)

Hinweis: Ein Drittanbieter-Spiegel listet für einige Builds abweichende Einträge; bitte auf MSRC prüfen.

Behoben in

• Installieren Sie das Microsoft-Sicherheitsupdate, das die betroffenen Builds auf die oben genannten Build-Nummern aktualisiert.
• KB-Artikelnummern: Unbekannt. Prüfen Sie den MSRC-Advisory.

Umgehung

Unbekannt. Es wurde kein vom Hersteller veröffentlichter Workaround gefunden. Wenden Sie das Microsoft-Update als wichtigste Massnahme an.

Ausnutzung

• Bis zum Zeitpunkt der Recherche ist keine öffentliche Ausnutzung bestätigt.
• CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Die CVSS-Reife des Exploit-Codes ist unbewiesen (E:U).
• Es wurde kein öffentlicher Proof of Concept und kein Eintrag im CISA KEV gefunden; die CVE wurde am 10.11.2026 veröffentlicht.

Unsere Empfehlung

• Bestätigen Sie die Build-Nummern und KB-Artikel für jede Windows-Version auf MSRC.
• Inventarisieren Sie Windows-10- und Windows-Server-2019-Systeme und priorisieren Sie Mehrbenutzersysteme, RDS- beziehungsweise Terminalserver und gemeinsam genutzte Arbeitsstationen.
• Spielen Sie das Update im nächsten regulären Zyklus ein, bei Mehrbenutzersystemen früher.
• Planen Sie für Windows-10-Builds ohne Support ein Upgrade oder ESU.
• Prüfen Sie MSRC, NVD und CISA KEV regelmässig auf Aktualisierungen zur Ausnutzung.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-94507 msrc.microsoft.com
• CVE.org record CVE-2026-94507 www.cve.org
• Strix CVE-2026-94507 (third-party mirror) www.strix.ai
• Zero Day Initiative: November 2026 security update review www.zerodayinitiative.com
• NTCompatible: November 2026 Patch Tuesday coverage www.ntcompatible.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 03:13.