Windows Internet (wininet.dll): Informationsoffenlegung durch Out-of-Bounds Read

Zusammenfassung

Ein Out-of-Bounds Read in der Windows-Internetbibliothek wininet.dll erlaubt einem berechtigten lokalen Benutzer, Speicher ausserhalb des vorgesehenen Puffers auszulesen und so Informationen offenzulegen. Der Angreifer benötigt einen lokalen Zugriff und gültige Zugangsdaten mit niedrigen Berechtigungen, und die Ausnutzung gilt als komplex. Nur die Vertraulichkeit ist betroffen, die Integrität und Verfügbarkeit bleiben unbeeinträchtigt.

Betroffen

• Windows 10 Version 1607 und Windows Server 2016 (inklusive Server-Core-Installation): 10.0.14393.0 bis vor 10.0.14393.9688
• Windows 10 Version 1809 und Windows Server 2019 (inklusive Server-Core-Installation): 10.0.17763.0 bis vor 10.0.17763.9487
• Windows 10 Version 21H2 und 22H2: 10.0.19044.0 bis vor 10.0.19044.7846 bzw. 10.0.19045.0 bis vor 10.0.19045.7846 (CVE-Eintrag)
• Windows 11 Version 23H2: 10.0.22631.0 bis vor 10.0.22631.7711
• Windows 11 Version 24H2 und 25H2: 10.0.26100.0 bis vor 10.0.26100.9974 bzw. 10.0.26200.0 bis vor 10.0.26200.9974
• Windows 11 Version 26H1: 10.0.28000.0 bis vor 10.0.28000.3501
• Windows 11 Version 26H2: 10.0.26300.0 bis vor 10.0.26300.9974
• Windows Server 2022: 10.0.20348.0 bis vor 10.0.20348.5870

Behoben in

• Windows 10 Version 1607 / Server 2016: Sicherheitsupdate mit Build 10.0.14393.9688 oder neuer (CVE-Eintrag)
• Windows 10 Version 1809 / Server 2019: Sicherheitsupdate mit Build 10.0.17763.9487 oder neuer (CVE-Eintrag)
• Weitere aufgeführte Produkte: Fixe Build-Nummer in den geprüften Quellen nicht bestätigt; Build pro Produkt im MSRC Security Update Guide prüfen
• Sekundäre Quellen nennen abweichende Build-Nummern, die hier nicht verwendet werden

Umgehung

Unbekannt. Es wurde kein Workaround oder keine Massnahme zur Abschwächung veröffentlicht.

Ausnutzung

• Nicht bekannt, dass die Schwachstelle aktiv ausgenutzt wird; nicht im CISA-KEV-Katalog aufgeführt
• CISA SSVC: Ausnutzung keine, nicht automatisierbar, technische Auswirkung teilweise
• Rapid7 stuft die Ausnutzung als eher unwahrscheinlich ein und meldet keine öffentliche Offenlegung
• Kein öffentlicher Proof of Concept bekannt

Unsere Empfehlung

• Das Windows-Sicherheitsupdate vom November 2026 auf allen betroffenen Systemen installieren und den fixen Build auf der MSRC-Seite prüfen
• Mehrbenutzersysteme, Terminal-Server und gemeinsam genutzte Arbeitsstationen priorisieren
• Sicherstellen, dass die ESU-Registrierung auf Windows-10-Systemen aktiv ist, die nur über ESU abgedeckt sind
• Als reguläres monatliches Patch behandeln, nicht als Notfall-Rollout, sofern keine Kombination mit einer anderen Exploit-Kette besteht
• Lokale Anmeldungen einschränken und die Ausführung nicht vertrauenswürdigen Codes auf gemeinsam genutzten Systemen begrenzen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide: CVE-2026-96093 msrc.microsoft.com
• CVE.org record CVE-2026-96093 www.cve.org
• Rapid7: Patch Tuesday November 2026 www.rapid7.com
• Senserva: KB5131090 senserva.com
• strix.ai: CVE-2026-96093 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 20:16.