Microsoft Windows USB Hub Driver: Rechteerweiterung durch Heap-based Buffer Overflow

Zusammenfassung

Ein Heap-based Buffer Overflow im Windows USB Hub Driver erlaubt einem lokalen Angreifer mit einem berechtigten Konto mit niedrigen Rechten, seine Privilegien auf dem betroffenen System zu erhöhen. Der CNA stuft die Schwachstelle als hoch ein (CVSS 3.1 7.8) mit vollständigen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Die Ausnutzung setzt lokalen Zugriff und ein gültiges Konto mit niedrigen Rechten voraus, weshalb das Risiko hauptsächlich als zweite Stufe nach einer initialen Kompromittierung besteht.

Betroffen

• Windows 10 Version 1607: vor 10.0.14393.9688
• Windows 10 Version 1809: vor 10.0.17763.9487
• Windows 10 Version 21H2: vor 10.0.19044.7846
• Windows 10 Version 22H2: Unbekannt (Versionsbereich im CVE-Eintrag nicht bestätigt)
• Windows 11 Version 23H2: vor 10.0.22631.7711 (laut Drittanbieter-Spiegel, nicht verifiziert)
• Windows 11 Version 24H2: vor 10.0.26100.9974 (laut Drittanbieter-Spiegel, nicht verifiziert)
• Windows 11 Version 25H2 und 26H2: vor 10.0.26200.9974 bzw. 10.0.26300.9974 (laut CVE-Eintrag)
• Windows 11 Version 26H1: vor 10.0.28000.3501 (laut CVE-Eintrag)
• Windows Server 2016 (inklusive Server Core): vor 10.0.14393.9688
• Windows Server 2019 (inklusive Server Core): vor 10.0.17763.9487
• Windows Server 2022: vor 10.0.20348.5870

Behoben in

• Windows 10 1607 und Windows Server 2016: 10.0.14393.9688
• Windows 10 1809 und Windows Server 2019: 10.0.17763.9487
• Windows 10 21H2: 10.0.19044.7846
• Windows Server 2022: 10.0.20348.5870
• Weitere Builds: siehe MSRC Security Update Guide. Die zugehörigen KB-Nummern wurden nicht bestätigt.

Umgehung

Unbekannt. Es ist keine spezifische Massnahme dokumentiert. Das Einspielen des Patches ist die empfohlene Behebung.

Ausnutzung

• Zum Zeitpunkt der Recherche gibt es keine Hinweise auf eine Ausnutzung in freier Wildbahn.
• In den geprüften Quellen wurde kein öffentlicher Proof-of-Concept gefunden.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Der CVSS-Vektor enthält E:U (Exploit-Reife unbewiesen).

Unsere Empfehlung

• Die Sicherheitsupdates vom November 2026 für alle betroffenen Windows-Builds installieren und die installierten Build-Nummern mit der MSRC-Tabelle abgleichen.
• Systeme mit Windows 10 1607, 1809 und 21H2 sowie Shared- und Kiosk-Geräte priorisieren.
• Lokale Anmelderechte einschränken und nicht genehmigte USB-Geräte soweit die Richtlinien es erlauben blockieren.
• MSRC, CISA KEV und NVD auf Änderungen des Ausnutzungsstatus überwachen, da die CVE heute veröffentlicht wurde.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide: CVE-2026-95902 msrc.microsoft.com
• CVE.org record CVE-2026-95902 www.cve.org
• strix.ai: CVE-2026-95902 (unverified version table) www.strix.ai
• senserva.com: KB5131096 (not confirmed for this CVE) senserva.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 03:04.