Windows LSASS: Lokale Rechteerweiterung durch heapbasierten Pufferüberlauf

Zusammenfassung

Ein heapbasierter Pufferüberlauf im Windows Local Security Authority Subsystem Service (LSASS) erlaubt einem berechtigten lokalen Angreifer, seine Privilegien zu erweitern. LSASS verarbeitet die lokale Authentifizierung und hält Zugangsdaten vor, weshalb ein erfolgreicher Angriff zwischengespeicherte Zugangsdaten und Domänen-Administratorsitzungen offenlegen kann. Der Angreifer benötigt zuerst eine gültige Anmeldung mit niedrigen Berechtigungen auf dem Zielsystem; die Schwachstelle ist nicht aus der Ferne ausnutzbar. Der CVSS-3.1-Basiswert beträgt 7.8 (HIGH).

Betroffen

• Windows 11 Version 24H2: 10.0.26100.0 bis vor 10.0.26100.9974
• Windows 11 Version 25H2: 10.0.26200.0 bis vor 10.0.26200.9974
• Windows 11 Version 26H1: 10.0.28000.0 bis vor 10.0.28000.3501
• Windows 11 Version 26H2: 10.0.26300.0 bis vor 10.0.26300.9974 (laut Drittanbieter-Tracker, mit MSRC zu bestätigen)
• Windows Server 2022: 10.0.20348.0 bis vor 10.0.20348.5870 (laut Drittanbieter-Tracker, mit MSRC zu bestätigen)
• Windows Server 2025 (inklusive Server Core): 10.0.26100.0 bis vor 10.0.26100.33822 (laut Drittanbieter-Tracker, mit MSRC zu bestätigen)
• Windows 10 und ältere Server-Editionen: Unbekannt.

Behoben in

• Sicherheitsupdate für die aufgeführten Builds. Die Advisory von Microsoft ist für die KB-Nummern massgebend.

Umgehung

Unbekannt. In den verfügbaren Quellen wird keine Massnahme zur Umgehung beschrieben. Das Microsoft-Advisory auf Zwischenmassnahmen prüfen.

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn und kein öffentlicher Proof of Concept bis 11. Nov 2026.
• Die Exploit-Reife von Microsoft wird als Unproven (E:U) angegeben.
• CISA-SSVC-Bewertung: keine Ausnutzung, nicht automatisierbar, totale technische Auswirkung.
• Die NVD-Analyse war zum Zeitpunkt der Recherche noch ausstehend; CISA KEV auf Aktualisierungen prüfen.

Unsere Empfehlung

• Das Microsoft-Sicherheitsupdate für die betroffenen Builds im regulären Patch-Zyklus einspielen, mit hoher Priorität für gemeinsam genutzte Arbeitsstationen, RDS-/Terminalserver und Dateiserver.
• Die genauen betroffenen Builds und KB-Nummern im MSRC-Advisory bestätigen, auch für Windows 10 und ältere Server-Editionen.
• Das Risiko einer lokalen Rechteerweiterung durch Einschränkung lokaler Anmeldungen und Begrenzung administrativer Rechte reduzieren.
• Auf Indikatoren für Credential-Diebstahl achten und CISA KEV sowie die MSRC-Seite auf Änderungen prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-96016 msrc.microsoft.com
• CVE Record: CVE-2026-96016 www.cve.org
• Strix: CVE-2026-96016 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 02:51.