Microsoft Windows WMI: Heap-basierter Pufferüberlauf ermöglicht lokale Rechteerweiterung

Zusammenfassung

Ein heap-basierter Pufferüberlauf in Windows Management Instrumentation (WMI) erlaubt einem berechtigten Benutzer mit niedrigen Rechten, auf betroffenen Windows-10-, Windows-11- und Windows-Server-Systemen lokal seine Privilegien zu erweitern. Laut CVSS-Vektor sind bei erfolgreichem Angriff Vertraulichkeit, Integrität und Verfügbarkeit des lokalen Systems vollständig betroffen. Der Angriff setzt ein gültiges lokales Konto oder einen bereits bestehenden Zugriff auf das Gerät voraus, und der Vektor deutet nicht auf eine Ausnutzung aus der Ferne hin.

Betroffen

• Windows 10 Version 1607 und Windows Server 2016 (inklusive Server Core): vor 10.0.14393.9688
• Windows 10 Version 1809 und Windows Server 2019 (inklusive Server Core): vor 10.0.17763.9487
• Windows 10 Version 21H2: vor 10.0.19044.7846
• Windows 10 Version 22H2: vor 10.0.19045.7846
• Windows 11 Version 23H2: vor 10.0.22631.7711
• Windows 11 Version 24H2: vor 10.0.26100.9974
• Windows 11 Version 25H2 und 26H2: vor 10.0.26200.9974 beziehungsweise 10.0.26300.9974
• Windows 11 Version 26H1: vor 10.0.28000.3501
• Windows Server 2022: vor 10.0.20348.5870

Behoben in

Sicherheitsupdate vom November 2026 (Patch Tuesday). Die behobenen Builds gemäss CVE-Eintrag sind oben unter betroffen aufgeführt; die MSRC-Tabelle sollte für den genauen Build pro Gerät geprüft werden. Knowledge-Base-Nummern: Nur eine Drittanbieter-Seite nennt KB5131096 für Windows 10 21H2, Microsoft hat dies nicht bestätigt. Für andere Builds: Unbekannt.

Umgehung

Unbekannt.

Ausnutzung

• Kein Hinweis auf Ausnutzung in freier Wildbahn gefunden.
• Kein öffentlicher Proof of Concept gefunden.
• Nicht im Katalog der CISA KEV enthalten.
• CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.

Unsere Empfehlung

• Das kumulative Sicherheitsupdate vom November 2026 auf allen betroffenen Systemen installieren, zuerst auf Terminal-Servern, Datei-Servern und Administrations-Arbeitsplätzen.
• Den installierten Build jedes Geräts mit dem MSRC-Security-Update-Guide abgleichen.
• Lokale Anmelderechte auf gemeinsam genutzten Mehrbenutzer-Systemen einschränken und das Least-Privilege-Prinzip durchsetzen.
• Ungewöhnliche WMI-Aktivitäten und neue lokale Administratorkonten überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Response Center: CVE-2026-95920 msrc.microsoft.com
• CVE Record CVE-2026-95920 (CVE.org) www.cve.org
• Qualys: Microsoft Patch Tuesday November 2026 review blog.qualys.com
• Senserva: KB5131096 (third-party, unconfirmed) senserva.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 03:01.