Microsoft Windows: Informationsoffenlegung im Graphics Kernel durch nicht initialisierte Ressource

Zusammenfassung

Eine nicht initialisierte Ressource im Windows Graphics Kernel erlaubt einem lokal berechtigten Angreifer, Informationen auszulesen, die ihm nicht zugänglich sein sollten. Der Angreifer benötigt ein lokales Konto oder lokale Codeausführung auf dem System, und die Auswirkung beschränkt sich auf die Vertraulichkeit. Der CVSS-3.1-Basiswert beträgt 4.7 (mittel), und CISA SSVC führt keine bekannte Ausnutzung auf.

Betroffen

• Windows 10 Version 1607 und Windows Server 2016 (inklusive Server-Core-Installation): Builds vor 10.0.14393.9688
• Windows 10 Version 1809 und Windows Server 2019 (inklusive Server-Core-Installation): Builds vor 10.0.17763.9487
• Windows 10 Version 21H2: Builds vor 10.0.19044.7846
• Windows 10 Version 22H2: Builds vor 10.0.19045.7846
• Windows 11 Version 23H2: Builds vor 10.0.22631.7711
• Windows 11 Version 24H2: Builds vor 10.0.26100.9974
• Windows 11 Version 25H2: Builds vor 10.0.26200.9974
• Windows 11 Version 26H1: Builds vor 10.0.28000.3501
• Windows 11 Version 26H2: Builds vor 10.0.26300.9974
• Windows Server 2022: Builds vor 10.0.20348.5870

Behoben in

• Das Sicherheitsupdate vom November 2026 für die oben aufgeführten betroffenen Builds installieren.
• Vom Hersteller genannte korrigierte Builds: 10.0.14393.9688, 10.0.17763.9487, 10.0.19044.7846, 10.0.19045.7846, 10.0.22631.7711, 10.0.26100.9974, 10.0.26200.9974, 10.0.28000.3501, 10.0.26300.9974, 10.0.20348.5870.
• Das passende Update-Paket für jeden Build im MSRC Security Update Guide prüfen.

Umgehung

Unbekannt.

Ausnutzung

• Laut CISA-SSVC-Bewertung (Exploitation: none) und Drittanbieter-Trackern nicht in freier Wildbahn ausgenutzt.
• Laut Rapid7 nicht öffentlich bekannt gemacht, und es wurde kein öffentlicher Proof of Concept gefunden.
• Kein EPSS-Wert verfügbar.

Unsere Empfehlung

• Das Sicherheitsupdate vom November 2026 auf allen betroffenen Windows-Systemen installieren, mit Priorität auf Server und Mehrbenutzersysteme wie RDS- und Terminalserver.
• Prüfen, ob Geräte mit Windows 10 1607, 1809 und 21H2 noch Sicherheitsupdates erhalten, da diese Editionen nicht mehr gewartet werden und ESU oder ein Upgrade benötigen.
• Lokale Konten auf die minimal nötigen Berechtigungen beschränken und Endgeräte auf ungewöhnliche lokale Aktivitäten überwachen.
• Dieses Update im regulären monatlichen Patch-Zyklus einspielen, nach den schwerwiegenderen Punkten im selben Paket.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE record (CVE.org) www.cve.org
• MSRC Security Update Guide msrc.microsoft.com
• Rapid7: November 2026 Patch Tuesday www.rapid7.com
• Senserva KB5131096 (third-party) senserva.com
• Senserva KB5131090 (third-party) senserva.com
• Strix CVE-2026-96048 (third-party, versions inconsistent) www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 20:16.