Windows Installer: Heap-basierter Pufferüberlauf ermöglicht lokale Rechteerweiterung

Zusammenfassung

Windows Installer, die Windows-Komponente zum Installieren, Reparieren und Entfernen von MSI-Paketen, enthält einen heap-basierten Pufferüberlauf. Ein Angreifer mit einem lokalen Konto mit niedrigen Rechten und ohne Benutzerinteraktion kann die Schwachstelle ausnutzen, um SYSTEM-Rechte auf betroffenen Windows-10-, Windows-11- und Windows-Server-Systemen zu erlangen. Die Schwachstelle ist nicht aus dem Internet erreichbar, ist aber dort relevant, wo Mitarbeitende lokale Sitzungen haben oder Shared PCs genutzt werden.

Betroffen

• Windows 10 Version 1607 und Windows Server 2016 (inklusive Server Core): vor 10.0.14393.9688
• Windows 10 Version 1809 und Windows Server 2019 (inklusive Server Core): vor 10.0.17763.9487
• Windows 10 Version 21H2: vor 10.0.19044.7846
• Windows 10 Version 22H2: vor 10.0.19045.7846
• Windows 11 Version 23H2: vor 10.0.22631.7711
• Windows 11 Version 24H2: vor 10.0.26100.9974
• Windows 11 Version 25H2: vor 10.0.26200.9974
• Windows 11 Version 26H1: vor 10.0.28000.3501
• Windows 11 Version 26H2: vor 10.0.26300.9974
• Windows Server 2022: vor 10.0.20348.5870

Behoben in

Installieren Sie das Sicherheitsupdate von Microsoft für Ihren Versionszweig. Gemäss CVE-Eintrag behobene Builds:

• Windows 10 1607 / Server 2016: 10.0.14393.9688
• Windows 10 1809 / Server 2019: 10.0.17763.9487
• Windows 10 21H2: 10.0.19044.7846
• Windows 10 22H2: 10.0.19045.7846
• Windows 11 23H2: 10.0.22631.7711
• Windows 11 24H2: 10.0.26100.9974
• Windows 11 25H2 und 26H2: 10.0.26200.9974 bzw. 10.0.26300.9974
• Windows 11 26H1: 10.0.28000.3501
• Windows Server 2022: 10.0.20348.5870

KB-Nummern im MSRC-Advisory überprüfen.

Umgehung

Unbekannt. Der Hersteller dokumentiert keine Workaround-Massnahme. Zusätzliche Härtung aus allgemeiner Praxis (nicht aus dem Advisory): lokale Administratorrechte einschränken und festlegen, wer MSI-Pakete installieren darf, sowie auf unerwartete Rechteänderungen überwachen.

Ausnutzung

• Aktive Ausnutzung: unbekannt. CISA SSVC führt die Ausnutzung als keine.
• Öffentlicher Proof of Concept: keiner gefunden.
• Automatisierbar: nein.
• CVSS 3.1 Basiswert 7.8 (hoch), Vektor AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H.

Unsere Empfehlung

• Installieren Sie das Sicherheitsupdate von Microsoft auf allen betroffenen Windows-10-, Windows-11- und Windows-Server-Systemen im nächsten regulären Patch-Zyklus, zuerst auf Shared PCs, Systemen mit Fernzugriff und Geräten von Mitarbeitenden mit lokalen Administratorrechten.
• Prüfen Sie vor der Verteilung die exakten behobenen Builds im MSRC-Advisory und ob Windows 10 1607 und 1809 noch Updates erhalten.
• Beschränken Sie lokale Administratorrechte und die MSI-Installation auf die IT.
• Überwachen Sie Endgeräte auf unerwartete Rechteänderungen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE.org record CVE-2026-96085 www.cve.org
• Microsoft Security Update Guide CVE-2026-96085 msrc.microsoft.com
• Strix CVE-2026-96085 (third-party mirror, verify builds) www.strix.ai
• PT-2026-112485 (unconfirmed relation to this CVE) vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 02:36.