Microsoft Windows USB Driver: Elevation of Privilege durch Out-of-Bounds Read

Zusammenfassung

Ein Out-of-Bounds Read im Windows USB Driver erlaubt einem berechtigten lokalen Benutzer, seine Rechte auf dem betroffenen System zu erhöhen. Der Angreifer benötigt ein bestehendes lokales Konto und muss hohe Angriffskomplexität überwinden, daher handelt es sich um einen Schritt zur Rechteerweiterung und nicht um einen Einstiegspunkt aus dem Netzwerk. Der CVSS-Wert beträgt 7.0 (HIGH); die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit werden als hoch eingestuft.

Betroffen

• Windows 10 Version 1607, 1809, 21H2, 22H2
• Windows 11 Version 23H2, 24H2, 25H2, 26H1, 26H2
• Windows Server 2016, 2019, 2022 (einschliesslich Server-Core-Installationen)
• Windows Server 2025 und Windows 11 22H2 sind im CNA-Eintrag nicht aufgeführt; die Sekundärquelle nennt Windows Server 2025 als betroffen, dies ist nicht verifiziert.
• Genaue betroffene Builds sind im MSRC-Advisory aufgeführt.

Behoben in

• Windows 10 1607 / Server 2016: 10.0.14393.9688
• Windows 10 1809 / Server 2019: 10.0.17763.9487
• Windows 10 21H2: 10.0.19044.7846
• Windows 10 22H2: 10.0.19045.7846
• Windows 11 23H2: 10.0.22631.7711
• Windows 11 24H2: 10.0.26100.9974
• Windows 11 25H2 und 26H2: 10.0.26200.9974 bzw. 10.0.26300.9974 (gemäss CNA-Eintrag)
• Windows 11 26H1: 10.0.28000.3501
• Windows Server 2022: 10.0.20348.5870 (Sekundärquelle, nicht verifiziert)
• Zugehörige KB-Nummern: Unbekannt. Auf MSRC prüfen.

Umgehung

Unbekannt. Wo das Update installiert ist, ist kein Workaround nötig. Die Einschränkung der USB-Geräteinstallation über Group Policy oder Intune ist eine allgemeine Härtungsmassnahme und kein Workaround des Herstellers.

Ausnutzung

• Ausnutzung in freier Wildbahn: keine Hinweise gefunden.
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
• Öffentlicher Proof of Concept: keiner gefunden.
• CISA KEV: laut einer Drittquelle nicht aufgeführt; direkt prüfen.

Unsere Empfehlung

• Das Windows-Sicherheitsupdate vom November 2026 auf allen betroffenen Windows-Systemen installieren; Priorität haben gemeinsam genutzte Arbeitsstationen, Terminal-Server und Hosts, an denen Benutzer unbekannte USB-Geräte anschliessen können.
• KB-Nummer pro Edition auf der MSRC-Seite oder im Microsoft Update Catalog bestätigen.
• Supportstatus der Hosts mit Windows 10 1607/1809 und Server 2016/2019 prüfen.
• USB-Geräteinstallation über Group Policy oder Intune einschränken und das Least-Privilege-Prinzip für Benutzerkonten durchsetzen.
• Prüfen, ob es sich bei verwandten USB-Treiber-CVEs wie CVE-2026-69295 um Duplikate handelt.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE.org record CVE-2026-96051 www.cve.org
• MSRC Security Update Guide msrc.microsoft.com
• Strix CVE-2026-96051 www.strix.ai
• KB5131090 summary (third party) senserva.com
• CVE-2026-69295 (related wording, third party) vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 07:44.