Windows AppX Package Manager: Heap-Überlauf ermöglicht lokale Rechteerweiterung

Zusammenfassung

Ein Heap-basierter Pufferüberlauf (CWE-122) im Windows AppX Package Manager erlaubt einem berechtigten lokalen Benutzer, seine Rechte zu erweitern. Ein Angreifer benötigt dafür Codeausführung oder ein Konto mit niedrigen Berechtigungen auf dem betroffenen System. Die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit sind hoch. Der CNA bewertet den CVSS-Score mit 7.8 (AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H).

Betroffen

• Windows 10 Version 1607 und Windows Server 2016 (inkl. Server Core): vor 10.0.14393.9688
• Windows 10 Version 1809 und Windows Server 2019 (inkl. Server Core): vor 10.0.17763.9487
• Windows 10 Version 21H2: vor 10.0.19044.7846
• Windows 10 Version 22H2: vor 10.0.19045.7846
• Windows 11 Version 23H2: vor 10.0.22631.7711
• Windows 11 Version 24H2, 25H2 und 26H2: vor 10.0.26100.9974, 10.0.26200.9974 und 10.0.26300.9974
• Windows 11 Version 26H1: vor 10.0.28000.3501
• Windows Server 2022: vor 10.0.20348.5870

Behoben in

Behoben im kumulativen Update vom November 2026. Die Build-Nummern stammen aus dem CVE-Eintrag und müssen vor dem Rollout mit dem MSRC-Advisory verifiziert werden. Die KB-Nummer KB5131096 stammt von einer Drittquelle und ist nicht verifiziert.

Umgehung

• Keine Workaround des Herstellers bekannt.
• Lokale interaktive Anmeldungen auf gemeinsam genutzten Systemen, Mehrbenutzersystemen und Terminalservern einschränken.
• Standardbenutzer daran hindern, nicht vertrauenswürdige Software auszuführen.

Ausnutzung

• CISA-SSVC-Bewertung: keine Ausnutzung, nicht automatisierbar, vollständige technische Auswirkung.
• Zum Zeitpunkt der Recherche gab es keine Hinweise auf Ausnutzung in freier Wildbahn und keinen öffentlichen Proof of Concept.
• EPSS: nicht verfügbar.

Unsere Empfehlung

• Das kumulative Update vom November 2026 einspielen; Terminalserver und gemeinsam genutzte Mehrbenutzer-PCs zuerst behandeln.
• Client-Inventar auf betroffene Builds und auf die Abdeckung durch Windows 10 ESU prüfen.
• Workarounds bis zum Abschluss der Patches anwenden und auf verdächtige lokale Rechteerweiterungen überwachen.
• Priorität: mittel.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE.org CNA record CVE-2026-96074 www.cve.org
• Microsoft Security Update Guide CVE-2026-96074 msrc.microsoft.com
• Strix CVE-2026-96074 (third-party, build list unverified) www.strix.ai
• Senserva KB5131096 (third-party) senserva.com
• Rapid7 Patch Tuesday November 2026 www.rapid7.com
• Tenable Patch Tuesday November 2026 www.tenable.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 02:37.