Windows HTTP.sys: Rechteerweiterung durch heap-basierten Pufferüberlauf

Zusammenfassung

Ein heap-basierter Pufferüberlauf im Windows-HTTP.sys-Kerneltreiber erlaubt einem berechtigten lokalen Benutzer eine Rechteerweiterung. Der Angreifer benötigt ein gültiges Konto mit niedrigen Rechten und eine Angriffsvoraussetzung mit hoher Komplexität. Der CVE-Eintrag beschreibt den Auslöser nicht, und es wurde keine öffentliche technische Analyse oder Proof of Concept gefunden.

Betroffen

• Windows 10 Version 1607 (10.0.14393.0 bis < 10.0.14393.9688)
• Windows 10 Version 1809 (10.0.17763.0 bis < 10.0.17763.9487)
• Windows 10 Version 21H2 (10.0.19044.0 bis < 10.0.19044.7846)
• Windows 10 Version 22H2 (10.0.19045.0 bis < 10.0.19045.7846)
• Windows 11 Version 23H2 (10.0.22631.0 bis < 10.0.22631.7711)
• Windows 11 Version 24H2 (10.0.26100.0 bis < 10.0.26100.9974)
• Windows 11 Version 25H2 (10.0.26200.0 bis < 10.0.26200.9974)
• Windows 11 Version 26H1 (10.0.28000.0 bis < 10.0.28000.3501)
• Windows 11 Version 26H2 (10.0.26300.0 bis < 10.0.26300.9974)
• Windows Server 2016 inkl. Server Core (10.0.14393.0 bis < 10.0.14393.9688)
• Windows Server 2019 inkl. Server Core (10.0.17763.0 bis < 10.0.17763.9487)
• Windows Server 2022 (10.0.20348.0 bis < 10.0.20348.5870)

Behoben in

Das Sicherheitsupdate vom November 2026 installieren. Behobene Builds laut CNA-Eintrag: 10.0.14393.9688 (1607, Server 2016), 10.0.17763.9487 (1809, Server 2019), 10.0.22631.7711 (23H2), 10.0.26100.9974 (24H2), 10.0.26200.9974 (25H2), 10.0.26300.9974 (26H2), 10.0.28000.3501 (26H1), 10.0.20348.5870 (Server 2022).

• Windows 10 21H2 und 22H2 (19044.7846, 19045.7846) sind nur durch eine Drittquelle belegt und auf der MSRC-Seite zu prüfen.
• Windows Server 2025 ist im CNA-Eintrag nicht aufgeführt; auf der MSRC-Seite prüfen.

Umgehung

Unbekannt.

Ausnutzung

• Nicht bekanntermassen in freier Wildbahn ausgenutzt (CISA SSVC: Exploitation none, Automatable no).
• Rapid7 stuft die Ausnutzung als weniger wahrscheinlich ein und führt die öffentliche Bekanntgabe als nicht erfolgt.
• Kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Das Sicherheitsupdate vom November 2026 auf allen betroffenen Windows-Systemen installieren, zuerst auf Windows-10-ESU-Hosts und Servern mit IIS oder anderen HTTP.sys-basierten Diensten.
• Die behobenen Build-Nummern auf der MSRC-Seite prüfen, bevor man sich darauf verlässt.
• Lokale Konten einschränken und nicht benötigte gemeinsam genutzte Konten entfernen, um das Risiko einer lokalen Rechteerweiterung zu senken.
• Auf eine Aufnahme in den CISA-KEV-Katalog oder öffentlichen Exploit-Code achten und die NVD-Bewertung nach Veröffentlichung prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-95923 msrc.microsoft.com
• CVE Record CVE-2026-95923 (CVE.org) www.cve.org
• Strix AI: CVE-2026-95923 www.strix.ai
• Rapid7: Patch Tuesday November 2026 www.rapid7.com
• Senserva: KB5131096 (Windows 10 21H2) senserva.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 08:03.