Windows GDI: Heap-basierter Pufferüberlauf ermöglicht lokale Rechteausweitung

Zusammenfassung

Ein Heap-basierter Pufferüberlauf in der Grafikkomponente Windows GDI erlaubt einem berechtigten lokalen Benutzer mit niedrigen Rechten, seine Privilegien auf dem betroffenen System zu erhöhen. Für die Ausnutzung ist zuerst eine lokale Anmeldung erforderlich, weshalb die Schwachstelle eher ein Schritt nach Phishing oder Malware als ein Einstiegspunkt ist. Ein erfolgreicher Angriff hätte für Vertraulichkeit, Integrität und Verfügbarkeit eine hohe Auswirkung.

Betroffen

• Windows 10 Version 1607, 1809, 21H2 und 22H2
• Windows 11 Version 23H2, 24H2, 25H2, 26H1 und 26H2
• Windows Server 2016 (inkl. Server Core), 2019 (inkl. Server Core) und 2022

Behoben in

Korrigierte Builds gemäss CNA-Eintrag (der betroffene Bereich endet vor diesen Builds):

• Windows 10 1607: 10.0.14393.9688
• Windows 10 1809: 10.0.17763.9487
• Windows 10 21H2: 10.0.19044.7846
• Windows 10 22H2: 10.0.19045.7846
• Windows 11 23H2: 10.0.22631.7711
• Windows 11 24H2: 10.0.26100.9974
• Windows 11 25H2: 10.0.26200.9974
• Windows 11 26H1: 10.0.28000.3501
• Windows 11 26H2: 10.0.26300.9974
• Windows Server 2016: 10.0.14393.9688
• Windows Server 2019: 10.0.17763.9487
• Windows Server 2022: 10.0.20348.5870

Jeden Build vor dem Rollout gegen das MSRC-Advisory prüfen, da eine Drittquelle abweichende Werte nennt.

Umgehung

Unbekannt.

• Es wurde keine Workaround-Massnahme des Herstellers oder Dritter identifiziert; das Einspielen des Microsoft-Sicherheitsupdates ist die einzige bestätigte Korrektur.

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; kein Eintrag im CISA-KEV-Katalog identifiziert.
• Kein öffentlicher Proof-of-Concept gefunden; die Ausnutzungsreife gemäss CNA ist unproven.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.

Unsere Empfehlung

• Den offiziellen MSRC-Eintrag abrufen und die Build-Nummern aller Windows-Systeme prüfen (z. B. über WSUS, Intune oder ein Inventarisierungstool).
• Das kumulative Update aus dem Patch-Tuesday-Zyklus vom November 2026 oder neuer installieren und neu starten.
• Mehrbenutzersysteme, Terminalserver und Endgeräte, auf denen unbekannte Dateien oder Dokumente geöffnet werden, priorisieren.
• Systeme mit nicht mehr unterstützten Windows-10-Builds ersetzen; Lifecycle-Seiten von Microsoft prüfen.
• CISA KEV und NVD in den nächsten Tagen erneut prüfen, da der NVD-Status noch Awaiting Analysis lautet.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-94527 msrc.microsoft.com
• CVE Record CVE-2026-94527 (CVE Program) www.cve.org
• Strix CVE-2026-94527 (third-party, not authoritative) www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 03:12.