Microsoft Windows User Manager Service: Rechteausweitung durch Heap-based Buffer Overflow

Zusammenfassung

Ein Heap-based Buffer Overflow im Windows User Manager Service erlaubt einem lokalen Benutzer mit niedrigen Berechtigungen, seine Rechte zu erweitern. Es ist keine Benutzerinteraktion nötig, und der CVSS-3.1-Wert von 7.8 stammt vom CNA-Score von Microsoft. Ein Angreifer benötigt bereits Codeausführung oder eine angemeldete Sitzung auf dem Host, daher handelt es sich um ein Risiko der zweiten Stufe und nicht um einen Einstiegspunkt. Eine erfolgreiche Ausnutzung würde die volle Kontrolle über den betroffenen Host ermöglichen.

Betroffen

• Windows 10 Version 1607, 1809, 21H2, 22H2
• Windows 11 Version 23H2, 24H2, 25H2, 26H1, 26H2
• Windows Server 2016, 2019, 2022 (inklusive Server-Core-Installationen)
• Build-Bereiche gemäss CNA-Eintrag von Microsoft; einige Builds sind nicht verifiziert (siehe Quellen).

Behoben in

• Windows 10 1607: 10.0.14393.9688
• Windows 10 1809: 10.0.17763.9487
• Windows 10 21H2: 10.0.19044.7846
• Windows 10 22H2: 10.0.19045.7846 (aus Drittquelle, nicht verifiziert)
• Windows 11 23H2: 10.0.22631.7711 (aus Drittquelle, nicht verifiziert)
• Windows 11 24H2: 10.0.26100.9974 (aus Drittquelle, nicht verifiziert)
• Windows Server 2016: 10.0.14393.9688
• Windows Server 2019: 10.0.17763.9487
• Windows Server 2022: 10.0.20348.5870 (aus Drittquelle, nicht verifiziert)
• Die KB-Nummer für jeden Build ist im MSRC-Advisory zu prüfen. Für Windows 11 und Server-KB-Nummern: Unbekannt.

Umgehung

Unbekannt. In den geprüften Quellen ist kein Workaround oder keine Massnahme dokumentiert.

Ausnutzung

• Ausnutzung in freier Wildbahn: keine Hinweise gefunden.
• Reifegrad des Exploit-Codes: Unproven (E:U).
• CISA SSVC: Ausnutzung none, automatisierbar no, technische Auswirkung total.
• CISA KEV: im neuesten gefundenen Update nicht gelistet.
• Öffentlicher Proof of Concept: keiner gefunden.

Unsere Empfehlung

• Betroffene Windows-10-, Windows-11- und Server-Systeme im nächsten regulären Zyklus patchen; Mehrbenutzer-Server, Remote-Desktop-Hosts und gemeinsam genutzte Arbeitsstationen priorisieren.
• Vor dem Rollout die genauen Build- und KB-Nummern im MSRC-Advisory prüfen.
• Ältere Builds (1607, 1809, 21H2) im Bestand identifizieren und deren Supportstatus bei Microsoft prüfen.
• Lokale Anmelderechte einschränken und Codeausführung für Standardbenutzer reduzieren, als Übergangsmassnahmen.
• Auf ungewöhnliche Rechteänderungen auf Hosts achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Response Center advisory CVE-2026-96037 msrc.microsoft.com
• CVE.org record CVE-2026-96037 www.cve.org
• Third-party mirror CVE-2026-96037 (unverified) www.strix.ai
• Windows update KB5131096 (unverified link to this CVE) senserva.com
• CISA KEV alert 13 Oct 2026 (latest found, predates this CVE) www.cisa.gov

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 02:45.