Windows Performance Counters: Remote Code Execution durch heapbasierten Pufferüberlauf

Zusammenfassung

Ein heapbasierter Pufferüberlauf in der Komponente Windows Performance Counters erlaubt einem nicht authentifizierten Angreifer, über ein Netzwerk Code auszuführen. Gemäss CVSS-Vektor sind keine Berechtigungen nötig, wohl aber eine Benutzerinteraktion. Der CVSS-Basiswert beträgt 8.8 (hoch). Das MSRC-Advisory konnte nicht im Detail geprüft werden, daher sind die betroffenen Builds und die Anforderung an die Benutzerinteraktion vor einer Verwendung zu verifizieren.

Betroffen

• Windows 10 Version 1607 und Windows Server 2016 (inkl. Server Core): Builds vor 10.0.14393.9688
• Windows 10 Version 1809 und Windows Server 2019 (inkl. Server Core): Builds vor 10.0.17763.9487
• Windows 10 Version 21H2: Builds vor 10.0.19044.7846
• Windows 10 Version 22H2: Builds vor 10.0.19045.7846
• Windows 11 Version 23H2: Builds vor 10.0.22631.7711
• Windows 11 Version 24H2: Builds vor 10.0.26100.9974
• Windows 11 Version 25H2: Builds vor 10.0.26200.9974
• Windows 11 Version 26H1: Builds vor 10.0.28000.3501
• Windows 11 Version 26H2: Builds vor 10.0.26300.9974
• Windows Server 2022: Builds vor 10.0.20348.5870

Behoben in

• Die korrigierten Builds stammen aus der oberen Grenze der betroffenen Bereiche im CNA-Eintrag: 10.0.14393.9688 (1607, Server 2016), 10.0.17763.9487 (1809, Server 2019), 10.0.19044.7846 (21H2), 10.0.19045.7846 (22H2), 10.0.22631.7711 (23H2), 10.0.26100.9974 (24H2), 10.0.26200.9974 (25H2), 10.0.28000.3501 (26H1), 10.0.26300.9974 (26H2), 10.0.20348.5870 (Server 2022)
• Die KB-Nummern sind im MSRC-Advisory zu bestätigen.

Umgehung

• Unbekannt. Im MSRC-Advisory auf Massnahmen prüfen.

Ausnutzung

• Unbekannt. Zum Zeitpunkt der Erstellung wurde keine öffentliche Ausnutzung oder kein Proof-of-Concept gefunden.

Unsere Empfehlung

• Prüfen, ob betroffene Windows-Server oder -Clients die Komponente für nicht vertrauenswürdige Netzwerke erreichbar machen.
• Das aktuelle Windows-Sicherheitsupdate auf betroffenen Builds installieren, sobald die korrigierten Builds im MSRC bestätigt sind.
• Exponierte Server priorisieren und das Update als dringend behandeln, falls eine Ausnutzung gemeldet wird.
• Den CISA-KEV-Katalog und den NVD-Eintrag auf Änderungen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-95975 msrc.microsoft.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 20:54.