Windows Push Notifications: Heap-Überlauf ermöglicht lokale Rechteerhöhung

Zusammenfassung

Ein heap-basierter Pufferüberlauf in der Komponente Windows Push Notifications erlaubt es einem Angreifer mit niedrigen Berechtigungen, seine Rechte auf dem lokalen System zu erhöhen. Der Angriff setzt lokalen Zugriff und ein bestehendes Konto mit niedrigen Berechtigungen oder eine bereits erlangte Codeausführung voraus; eine Interaktion durch Benutzende ist nicht nötig. Die Schwachstelle ist nicht aus dem Internet erreichbar, kann aber als zweiter Schritt nach Phishing oder gestohlenen Zugangsdaten dienen.

Betroffen

• Windows 10 Version 1607 (Builds vor 10.0.14393.9688)
• Windows 10 Version 1809 (Builds vor 10.0.17763.9487)
• Windows 10 Version 21H2 (Builds vor 10.0.19044.7846)
• Windows 10 Version 22H2 (Builds vor 10.0.19045.7846)
• Windows 11 Version 23H2 (Builds vor 10.0.22631.7711)
• Windows 11 Version 24H2 (Builds vor 10.0.26100.9974)
• Windows 11 Version 25H2 (Builds vor 10.0.26200.9974)
• Windows 11 Version 26H1 (Builds vor 10.0.28000.3501)
• Windows 11 Version 26H2 (Builds vor 10.0.26300.9974)
• Windows Server 2016 inkl. Server Core (Builds vor 10.0.14393.9688)
• Windows Server 2019 inkl. Server Core (Builds vor 10.0.17763.9487)
• Windows Server 2022 (Builds vor 10.0.20348.5870)

Behoben in

• Sicherheitsupdates aus dem Patch Tuesday vom November 2026 (veröffentlicht am 10. November 2026), wobei die oben aufgeführten Build-Nummern die minimalen korrigierten Versionen gemäss CVE-Eintrag sind
• KB-Artikelnummern: Unbekannt (nicht gegen das MSRC-Advisory geprüft)

Umgehung

Unbekannt. Es ist keine Workaround- oder Mitigationsmassnahme des Herstellers bekannt. Das Einspielen des Patches ist die dokumentierte Behebung.

Ausnutzung

• Ausnutzung in freier Wildbahn: keine Hinweise für diese CVE. CISA SSVC bewertet die Ausnutzung als keine.
• Öffentliche Bekanntmachung vor dem Patch: für diesen Release nicht gemeldet.
• Öffentlicher Proof of Concept: unbekannt. Der CVSS-Vektor markiert die Reife des Exploit-Codes als unbewiesen (E:U).

Unsere Empfehlung

• Die Sicherheitsupdates vom November 2026 innerhalb des regulären Patch-Tuesday-Zyklus auf allen betroffenen Windows-10-, Windows-11- und Server-Systemen installieren; gemeinsam genutzte Arbeitsstationen und Systeme mit vielen Benutzenden zuerst.
• Prüfen, dass jedes System eine Windows-Version nutzt, die noch Sicherheitsupdates erhält; der Support-Status von Windows 10 1607, 1809, 21H2 und 22H2 wurde nicht geprüft.
• Lokale Anmelderechte einschränken und das Prinzip der minimalen Berechtigungen anwenden.
• Endgeräte mit EDR auf ungewöhnliche Rechteänderungen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-95881 msrc.microsoft.com
• CVE Record CVE-2026-95881 (Microsoft CNA) www.cve.org
• Strix: CVE-2026-95881 (third-party tracker) www.strix.ai
• Qualys: Microsoft Patch Tuesday November 2026 review blog.qualys.com
• Redmondmag: November 2026 Patch Tuesday redmondmag.com
• Vulners: related October 2026 CVE-2026-83867 (same component) vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 03:07.