Microsoft Windows Kernel: Integer-Underflow ermöglicht lokale Rechteerweiterung

Zusammenfassung

Ein Integer-Underflow (CWE-191) im Windows-Kernel erlaubt einem berechtigten lokalen Benutzer, seine Rechte zu erweitern. Ein Angreifer benötigt ein lokales Konto mit niedrigen Rechten, und es ist keine Benutzerinteraktion erforderlich. Bei erfolgreicher Ausnutzung erhält er die volle Kontrolle über das betroffene System, da Vertraulichkeit, Integrität und Verfügbarkeit alle als hoch eingestuft sind. Microsoft bewertet die CVE mit 7.8 (HIGH); die Analyse durch NVD steht noch aus.

Betroffen

• Windows 10 Version 21H2: 10.0.19044.0 bis vor 10.0.19044.7846
• Windows 10 Version 22H2: 10.0.19045.0 bis vor 10.0.19045.7846
• Windows 11 Version 23H2: 10.0.22631.0 bis vor 10.0.22631.7711
• Windows 11 Version 24H2: 10.0.26100.0 bis vor 10.0.26100.9974
• Windows 11 Version 25H2: 10.0.26200.0 bis vor 10.0.26200.9974
• Windows 11 Version 26H1: 10.0.28000.0 bis vor 10.0.28000.3501
• Windows 11 Version 26H2: 10.0.26300.0 bis vor 10.0.26300.9974
• Windows Server 2022: 10.0.20348.0 bis vor 10.0.20348.5870
• Windows Server 2025 (inkl. Server-Core-Installation): 10.0.26100.0 bis vor 10.0.26100.33822

Behoben in

• Das kumulative Update von Microsoft für die betroffenen Versionen installieren (Builds wie oben aufgeführt oder höher).
• KB-Nummern: Unbekannt.

Umgehung

• Unbekannt. Keine vom Hersteller dokumentierte Umgehungsmassnahme gefunden.
• Allgemeine Härtung: lokale Anmelderechte einschränken, Least Privilege durchsetzen, Ausführung nicht vertrauenswürdigen Codes mittels Application Control einschränken.

Ausnutzung

• Keine Ausnutzung in freier Wildbahn bekannt.
• Kein öffentlicher Proof-of-Concept gefunden. Microsoft stuft die Exploit-Reife als unbewiesen (E:U) ein.

Unsere Empfehlung

• Kumulatives Update auf allen betroffenen Windows-10-, Windows-11- und Serversystemen installieren, zuerst auf gemeinsam genutzten Mehrbenutzersystemen und Terminalservern.
• Betroffene Builds und KB-Nummern vor dem Rollout auf der MSRC-Seite prüfen.
• Lokale Administratorrechte einschränken und verhindern, dass Standardbenutzer nicht geprüfte Programme ausführen.
• NVD- und Herstellerstatus in einigen Tagen erneut prüfen, da die CVE am 2026-11-10 veröffentlicht wurde.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Response Center: CVE-2026-96052 msrc.microsoft.com
• CVE Record: CVE-2026-96052 www.cve.org
• Strix: CVE-2026-96052 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 02:43.