Windows Graphics Kernel: Heap-Pufferüberlauf ermöglicht lokale Rechteausweitung

Zusammenfassung

Der Windows Graphics Kernel, die im Kernelmodus laufende Grafikkomponente auf allen Windows-Clients und -Servern, enthält einen heapbasierten Pufferüberlauf (CWE-122). Ein lokaler Benutzer mit niedrigen Berechtigungen kann diesen ausnutzen, um höhere Rechte zu erlangen, etwa SYSTEM. Die Ausnutzung setzt einen bestehenden Zugriff auf das System voraus und ist mit hoher Komplexität verbunden, daher handelt es sich um eine Rechteausweitung in einer zweiten Phase und nicht um einen Einstiegspunkt aus dem Netzwerk.

Betroffen

• Windows 10 Version 1607 (Builds vor 10.0.14393.9688)
• Windows 10 Version 1809 (Builds vor 10.0.17763.9487)
• Windows 10 Version 21H2 (Builds vor 10.0.19044.7846)
• Windows 10 Version 22H2 (Builds vor 10.0.19045.7846)
• Windows 11 Version 23H2 (Builds vor 10.0.22631.7711)
• Windows 11 Version 24H2 (Builds vor 10.0.26100.9974)
• Windows 11 Version 25H2 (Builds vor 10.0.26200.9974)
• Windows 11 Version 26H1 (Builds vor 10.0.28000.3501)
• Windows 11 Version 26H2 (Builds vor 10.0.26300.9974)
• Windows Server 2016, inklusive Server Core (Builds vor 10.0.14393.9688)
• Windows Server 2019, inklusive Server Core (Builds vor 10.0.17763.9487)
• Windows Server 2022 (Builds vor 10.0.20348.5870)

Behoben in

• Das Microsoft-Sicherheitsupdate vom November 2026 für die betroffenen Windows-Versionen installieren. Builds mit Versionsständen gleich oder über den oben genannten Schwellenwerten sind behoben.
• Unbekannt: die genaue KB-Nummer für diese CVE. Diese im Microsoft Security Update Guide prüfen.

Umgehung

Unbekannt.

Ausnutzung

• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Microsoft stuft die Reife des Exploit-Codes als Unproven (E:U) ein.
• Zum Zeitpunkt der Recherche wurden kein öffentlicher Proof-of-Concept und kein Eintrag im CISA-KEV-Katalog gefunden.
• Rapid7 meldet, dass Microsoft von einer Ausnutzung in freier Wildbahn bei einer am selben Tag veröffentlichten Schwachstelle weiss. Diese wird nicht namentlich genannt, und es konnte nicht verifiziert werden, ob es sich um diese CVE handelt.

Unsere Empfehlung

• Alle Windows-Systeme inventarisieren und Builds unterhalb der behobenen Versionen identifizieren, zuerst Server sowie gemeinsam genutzte Systeme wie Terminal-, Datei- und Mehrbenutzer-Arbeitsstationen.
• Die Windows-Sicherheitsupdates vom November 2026 im regulären Monatszyklus installieren und Server sowie gemeinsam genutzte Endgeräte priorisieren.
• Die behobenen Builds und KB-Nummern vor dem Rollout im Microsoft Security Update Guide prüfen.
• Den Supportstatus von Windows 10 1607, 1809 und 21H2 auf den Lifecycle-Seiten von Microsoft prüfen. Wo keine weiteren Patches bereitgestellt werden, Upgrades planen.
• Auf exponierten Systemen auf ungewöhnliche lokale Rechteausweitungen oder Kernel-Abstürze achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-95922 msrc.microsoft.com
• CVE Record: CVE-2026-95922 www.cve.org
• Strix: CVE-2026-95922 www.strix.ai
• Rapid7: Patch Tuesday November 2026 www.rapid7.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 08:03.