Windows HID-Klassentreiber: Informationsoffenlegung durch Use after Free

Zusammenfassung

Ein Use-after-Free-Fehler im HID-Klassentreiber von Microsoft Windows erlaubt einem berechtigten lokalen Benutzer, Informationen offenzulegen. Ein Angreifer benötigt ein bestehendes lokales Konto mit niedrigen Privilegien, und es ist keine Benutzerinteraktion erforderlich; die Schwachstelle kann nicht aus der Ferne ausgenutzt werden. Der CVE-Eintrag zeigt nur Auswirkungen auf die Vertraulichkeit (CVSS 5.5, Mittel). Microsoft schätzt eine Ausnutzung als unwahrscheinlich ein.

Betroffen

• Windows 10 Version 1607 und Windows Server 2016 (inklusive Server-Core-Installation), Builds vor 10.0.14393.9688
• Windows 10 Version 1809 und Windows Server 2019 (inklusive Server-Core-Installation), Builds vor 10.0.17763.9487
• Windows 10 Version 21H2, Builds vor 10.0.19044.7846
• Windows 10 Version 22H2, Builds vor 10.0.19045.7846
• Windows 11 Version 23H2, Builds vor 10.0.22631.7711
• Windows 11 Version 24H2, Builds vor 10.0.26100.9974
• Windows 11 Version 25H2, Builds vor 10.0.26200.9974
• Windows 11 Version 26H1, Builds vor 10.0.28000.3501
• Windows 11 Version 26H2, Builds vor 10.0.26300.9974
• Windows Server 2022, Builds vor 10.0.20348.5870
• Die vollständige Liste ist im MSRC-Advisory zu bestätigen (Inhalt nicht abgerufen)

Behoben in

Sicherheitsupdates aus dem Patch Tuesday vom November 2026. Korrigierte Builds gemäss CNA-Eintrag:

• Windows 10 1607 / Server 2016: 10.0.14393.9688
• Windows 10 1809 / Server 2019: 10.0.17763.9487
• Windows 10 21H2: 10.0.19044.7846
• Windows 10 22H2: 10.0.19045.7846
• Windows 11 23H2: 10.0.22631.7711
• Windows 11 24H2: 10.0.26100.9974 (Research Notes nennen 10.0.26100.33822; in MSRC prüfen)
• Windows 11 25H2: 10.0.26200.9974
• Windows 11 26H1: 10.0.28000.3501
• Windows 11 26H2: 10.0.26300.9974
• Windows Server 2022: 10.0.20348.5870

Umgehung

Unbekannt. Es wurde keine vom Hersteller dokumentierte Massnahme gefunden; das Einspielen des Patches ist die empfohlene Behebung.

Ausnutzung

• Microsoft-SSVC-Bewertung: keine Ausnutzung, nicht automatisierbar
• CVSS-Vektor enthält E:U (Exploit-Reife unbewiesen)
• Rapid7 stuft die Ausnutzung als unwahrscheinlich ein und führt keine öffentliche Offenlegung auf
• Kein öffentlicher Proof of Concept gefunden
• Kein Eintrag im CISA-KEV-Katalog gefunden

Unsere Empfehlung

• Die Sicherheitsupdates vom November 2026 auf allen betroffenen Windows-Systemen installieren, mit Priorität auf gemeinsam genutzten Servern, Terminalservern und Windows-10-Geräten mit ESU
• Die genauen KB-Nummern aus dem Microsoft Update Catalog oder von MSRC beziehen, nicht von Drittseiten
• Lokale Konten auf Mehrbenutzersystemen einschränken und auf unbekannte lokale Anmeldungen oder Malware achten
• Priorität mittel bis niedrig einstufen, nach kritischen und aktiv ausgenutzten Schwachstellen desselben Releases

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE.org CNA record CVE-2026-96059 www.cve.org
• Microsoft Security Update Guide (MSRC) msrc.microsoft.com
• Rapid7 Patch Tuesday November 2026 www.rapid7.com
• Strix CVE-2026-96059 (aggregator) www.strix.ai
• Senserva KB5131085 (third-party) senserva.com
• BleepingComputer November 2026 Patch Tuesday www.bleepingcomputer.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 16:31.