Microsoft Color Management: Remote Code Execution durch Heap-basiertes Buffer Overflow

Zusammenfassung

Ein Heap-basiertes Buffer Overflow in der Microsoft-Color-Management-Komponente erlaubt einem nicht authentifizierten Angreifer laut CVE-Eintrag die Ausführung von Code über ein Netzwerk. Der CVSS-Vektor (AV:N/PR:N/UI:N) stuft die Lücke mit einem Wert von 9.8 als kritisch ein, dies ist jedoch noch nicht durch MSRC oder NVD verifiziert. Betroffene Windows-10-, Windows-11- und Windows-Server-Versionen sind im CVE-Eintrag aufgeführt, eine Ausnutzung ist derzeit nicht bekannt.

Betroffen

• Windows 10 Version 1607, 1809, 21H2, 22H2
• Windows 11 Version 23H2, 24H2, 25H2, 26H1, 26H2
• Windows Server 2016, 2019, 2022 (inklusive Server Core)
• Genaue betroffene Build-Bereiche: siehe CVE-Eintrag (Windows 10 1607: 10.0.14393.0 bis vor 10.0.14393.9688; Windows Server 2022: 10.0.20348.0 bis vor 10.0.20348.5870; weitere Builds gemäss CVE-Eintrag)

Behoben in

Unbekannt. Der CVE-Eintrag nennt Builds, ab denen Systeme nicht mehr betroffen sind (zum Beispiel 10.0.14393.9688 oder 10.0.19045.7846), das Microsoft-Update und die KB-Nummer sind jedoch nicht bestätigt.

Umgehung

Unbekannt. Es wurden keine Herstellerhinweise zu Gegenmassnahmen gefunden.

Ausnutzung

• CISA SSVC: Exploitation none, Automatable yes, Technical Impact total
• Zum Zeitpunkt der Erstellung ist kein öffentlicher Proof of Concept und keine Ausnutzung in freier Wildbahn bekannt
• Die CVE wurde am 10.11.2026 veröffentlicht und wartet auf die NVD-Analyse

Unsere Empfehlung

• Alle Windows-10-, Windows-11- und Server-Systeme inventarisieren und jene identifizieren, die aus unvertrauenswürdigen Netzwerken erreichbar sind
• Das MSRC-Advisory so bald wie möglich auf die korrigierten Builds und die KB-Nummer prüfen und das Update einspielen
• Internetexponierte Server priorisieren und zuerst patchen
• CVSS-Vektor und betroffene Komponente auf MSRC oder NVD verifizieren, da die Details noch nicht bestätigt sind
• CISA KEV und MSRC auf Änderungen des Ausnutzungsstatus überwachen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-96078 msrc.microsoft.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 20:32.