Microsoft Windows Graphics Kernel: Rechteausweitung durch Out-of-Bounds-Read

Zusammenfassung

Eine lokale Schwachstelle zur Rechteausweitung (CWE-125, Out-of-Bounds-Read) im Windows Graphics Kernel betrifft mehrere Versionen von Windows 10, Windows 11 und Windows Server. Ein Angreifer, der bereits ein lokales Konto mit niedrigen Berechtigungen besitzt, kann die Schwachstelle ausnutzen, um höhere Rechte zu erlangen; die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit sind hoch (CVSS 3.1: 7.8). Ein Angriff aus dem Netzwerk ist nicht vorgesehen, das Hauptrisiko besteht daher nach einer erfolgreichen Kompromittierung, etwa auf Mehrbenutzersystemen wie Terminalservern.

Betroffen

• Windows 10 Version 1607: vor 10.0.14393.9688
• Windows 10 Version 1809: vor 10.0.17763.9487
• Windows 10 Version 21H2: vor 10.0.19044.7846
• Windows 10 Version 22H2: vor 10.0.19045.7846 (laut Drittanbieter-Tracker; Eintrag im CVE-Datensatz unvollständig)
• Windows 11 Version 23H2: vor 10.0.22631.7711
• Windows 11 Version 24H2: vor 10.0.26100.9974
• Windows 11 Version 25H2: vor 10.0.26200.9974
• Windows 11 Version 26H1: vor 10.0.28000.3501
• Windows 11 Version 26H2: vor 10.0.26300.9974
• Windows Server 2016 (inkl. Server Core): vor 10.0.14393.9688
• Windows Server 2019 (inkl. Server Core): vor 10.0.17763.9487
• Windows Server 2022: vor 10.0.20348.5870
• Windows Server 2025: korrigierter Build 10.0.26100.33822 (laut Drittanbieter-Tracker, unverifiziert)

Behoben in

• Sicherheitsupdate vom 10. November 2026 (kumulatives Update; die genaue KB-Nummer für diese CVE ist unverifiziert)
• Korrigierte Builds wie unter Betroffene Versionen aufgeführt, Abgleich mit dem MSRC-Advisory erforderlich

Umgehung

Unbekannt. In keiner Quelle wurde eine Workaround oder Massnahme zur Risikominderung gefunden; das Update ist einzuspielen.

Ausnutzung

• CISA SSVC: Exploitation none, Automatable no, Technical Impact total
• Zum Zeitpunkt der Recherche wurden keine Hinweise auf eine Ausnutzung in freier Wildbahn oder auf einen öffentlichen Proof of Concept gefunden
• Das Exploitability-Kennzeichen von Microsoft für diese CVE ist unbekannt

Unsere Empfehlung

• Das kumulative Update vom 10. November 2026 im nächsten Patch-Tuesday-Zyklus auf allen betroffenen Windows-10-, Windows-11- und Serversystemen einspielen
• Terminalserver, RDS-Hosts und gemeinsam genutzte Arbeitsstationen priorisieren
• Die exakten korrigierten Builds und die KB-Nummer vor dem Rollout im MSRC-Advisory prüfen
• Nach der Veröffentlichung auf öffentlichen Proof-of-Concept-Code oder Berichte über Ausnutzung achten

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-95909 msrc.microsoft.com
• CVE.org CVE Record: CVE-2026-95909 www.cve.org
• Strix AI: CVE-2026-95909 (third-party tracker) www.strix.ai
• Qualys: Microsoft Patch Tuesday November 2026 review blog.qualys.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 03:03.