Microsoft Windows: Heap-basierter Pufferüberlauf in Xbox Gaming Services

Zusammenfassung

Die Komponente Xbox Gaming Services in unterstützten Windows-10-, Windows-11- und Windows-Server-Versionen enthält einen heap-basierten Pufferüberlauf. Ein lokaler Benutzer mit niedrigen Rechten kann diesen ausnutzen, um höhere Rechte zu erlangen, potenziell bis zu SYSTEM. Der Angriff setzt lokalen Zugriff und ein bestehendes Benutzerkonto voraus, daher ist die Schwachstelle nicht direkt aus dem Internet erreichbar.

Betroffen

• Windows 10 Version 1607 und Windows Server 2016 (einschliesslich Server Core): Builds 10.0.14393.0 bis unter 10.0.14393.9688
• Windows 10 Version 1809 und Windows Server 2019 (einschliesslich Server Core): Builds 10.0.17763.0 bis unter 10.0.17763.9487
• Windows 10 Version 21H2: Builds 10.0.19044.0 bis unter 10.0.19044.7846
• Windows 10 Version 22H2: Builds 10.0.19045.0 bis unter 10.0.19045.7846
• Windows 11 Version 23H2: Builds 10.0.22631.0 bis unter 10.0.22631.7711
• Windows 11 Version 24H2 und 25H2: Builds 10.0.26100.0 bis unter 10.0.26100.9974 und 10.0.26200.0 bis unter 10.0.26200.9974
• Windows 11 Version 26H1: Builds 10.0.28000.0 bis unter 10.0.28000.3501
• Windows 11 Version 26H2: Builds 10.0.26300.0 bis unter 10.0.26300.9974
• Windows Server 2025: Builds 10.0.26100.0 bis unter 10.0.26100.33822
• Versionsangaben stammen aus dem CNA-Eintrag; noch nicht gegen die MSRC-Seite verifiziert.

Behoben in

• Installation des kumulativen Updates vom November 2026 für jeden betroffenen Windows-Build.
• Konkrete KB-Nummern: Unbekannt.

Umgehung

Unbekannt. Es wurde kein Workaround des Herstellers identifiziert.

Ausnutzung

• Zum Zeitpunkt der Recherche wurde keine Ausnutzung in freier Wildbahn festgestellt.
• Zum Zeitpunkt der Recherche wurde kein öffentlicher Proof-of-Concept gefunden.
• CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Der CVSS-Vektor enthält die Exploit-Reife E:U (nicht nachgewiesen).

Unsere Empfehlung

• Das kumulative Update vom November 2026 auf allen betroffenen Windows-10-, Windows-11- und Server-Systemen installieren; Mehrbenutzer-Arbeitsstationen, Terminalserver und gemeinsam genutzte Systeme priorisieren.
• Prüfen, ob Windows-10-Systeme der Versionen 1607 oder 1809 noch im Einsatz sind, und deren herstellerseitigen Supportstatus bestätigen.
• Lokale Benutzerkonten auf gemeinsam genutzten Systemen einschränken und nicht benötigte lokale Anmeldungen entfernen.
• Auf ungewöhnliche Rechteänderungen und neue Prozesse mit SYSTEM-Rechten achten und den Status in CISA KEV prüfen, bevor man sich auf die Einschätzung zur Ausnutzung verlässt.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC advisory CVE-2026-95874 msrc.microsoft.com
• CVE.org CNA record CVE-2026-95874 www.cve.org
• Qualys November 2026 Patch Tuesday review blog.qualys.com
• Third-party tracker CVE-2026-95874 (unverified version data) www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 03:08.