Windows Installer: Heap-basierter Pufferüberlauf führt zu Rechteerweiterung

Zusammenfassung

Ein heap-basierter Pufferüberlauf im Windows Installer (msiexec) erlaubt einem lokalen Angreifer mit niedrigen Rechten eine Rechteerweiterung, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Der Angreifer benötigt einen lokalen, authentifizierten Zugang, etwa über ein kompromittiertes Benutzerkonto oder Schadsoftware auf einem Arbeitsplatz oder Server. Laut CISA SSVC ist die Ausnutzung nicht automatisierbar, und es wurde keine Ausnutzung in freier Wildbahn gefunden.

Betroffen

• Windows 10 Version 1607 (Builds vor 10.0.14393.9688)
• Windows 10 Version 1809 (Builds vor 10.0.17763.9487)
• Windows 10 Version 21H2 (Builds vor 10.0.19044.7846)
• Windows 10 Version 22H2 (Builds vor 10.0.19045.7846)
• Windows 11 Version 23H2 (Builds vor 10.0.22631.7711)
• Windows 11 Version 24H2 (Builds vor 10.0.26100.9974)
• Windows 11 Version 25H2 (Builds vor 10.0.26200.9974)
• Windows 11 Version 26H1 (Builds vor 10.0.28000.3501)
• Windows 11 Version 26H2 (Builds vor 10.0.26300.9974)
• Windows Server 2016 inkl. Server Core (Builds vor 10.0.14393.9688)
• Windows Server 2019 inkl. Server Core (Builds vor 10.0.17763.9487)
• Windows Server 2022 (Builds vor 10.0.20348.5870)
• Bereiche aus dem CVE-Eintrag übernommen; pro Produkt im MSRC-Eintrag prüfen

Behoben in

• Das Sicherheitsupdate vom November 2026 für die betroffene Windows-Version installieren (Builds wie oben oder höher)
• Genaue Fix-Builds pro Produkt: im MSRC Security Update Guide bestätigen

Umgehung

• Kein vom Hersteller dokumentierter Workaround bekannt.
• Allgemeine Härtung, für diese CVE nicht verifiziert: Gruppenrichtlinie 'Windows Installer deaktivieren' (DisableMSI) auf 'Immer' setzen, auf Systemen, auf denen keine benutzergesteuerten Installationen nötig sind, bis Patches verteilt sind. Dies kann die Softwareverteilung stören, daher vorgängig testen.

Ausnutzung

• Ausnutzung in freier Wildbahn: keine Hinweise gefunden.
• Öffentlicher Proof of Concept: keiner gefunden.
• CISA SSVC: Ausnutzung keine, nicht automatisierbar, technische Auswirkung total.
• Eintrag im CISA-KEV-Katalog: nicht gefunden, aber nicht direkt überprüft.
• Bewertung der Ausnutzbarkeit durch Microsoft: unbekannt.

Unsere Empfehlung

• Betroffene Windows-Clients und -Server im nächsten regulären Update-Zyklus patchen; Priorität haben gemeinsam genutzte PCs, Terminalserver, Entwickler-Arbeitsplätze und Systeme mit vielen lokalen Benutzern.
• Exposition prüfen: betroffene Windows-Builds inventarisieren, insbesondere Windows 10 21H2/22H2 sowie Server 2016 bis 2022.
• Fix-Builds im MSRC-Eintrag bestätigen und prüfen, ob Windows 11 24H2/25H2 betroffen sind.
• Ausnutzung und KEV-Aktualisierungen überwachen; lokale Administratorrechte und Endpoint-Schutz überprüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-96062 msrc.microsoft.com
• CVE Record: CVE-2026-96062 www.cve.org
• Strix.ai: CVE-2026-96062 www.strix.ai
• Tenable: Microsoft November 2026 Patch Tuesday www.tenable.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 02:38.