Windows Media Player: Remote Code Execution durch Heap-basierten Pufferüberlauf

Zusammenfassung

Ein Heap-basierter Pufferüberlauf in Windows Media Player erlaubt einem nicht authentifizierten Angreifer, über das Netzwerk Code auszuführen. Der CVSS-3.1-Vektor (9.8, kritisch) verlangt keine Berechtigungen und keine Benutzerinteraktion. Microsoft stuft den maximalen Schweregrad als Important ein, und es ist kein öffentlicher Exploit-Code bekannt.

Betroffen

• Windows 10 Version 1607 (10.0.14393.0 bis vor 10.0.14393.9612)
• Windows 10 Version 1809 (10.0.17763.0 bis vor 10.0.17763.9376)
• Windows 10 Version 21H2 (10.0.19044.0 bis vor 10.0.19044.7807)
• Windows 10 Version 22H2 (10.0.19045.0 bis vor 10.0.19045.7807, siehe Behoben)
• Windows 11 Version 23H2 (10.0.22631.0 bis vor 10.0.22631.7652)
• Windows 11 Version 24H2 (10.0.26100.0 bis vor 10.0.26100.9711)
• Windows 11 Version 25H2 (10.0.26200.0 bis vor 10.0.26200.9711)
• Windows 11 Version 26H1 (10.0.28000.0 bis vor 10.0.28000.3231)
• Windows 11 Version 26H2 (10.0.26300.0 bis vor 10.0.26300.9711)
• Windows Server 2012 und 2012 R2, inklusive Server-Core-Installationen
• Windows Server 2016 (10.0.14393.0 bis vor 10.0.14393.9612)

Behoben in

• Windows 10 1607 / Server 2016: 10.0.14393.9612 oder neuer
• Windows 10 1809: 10.0.17763.9376 oder neuer
• Windows 10 21H2: 10.0.19044.7807 oder neuer
• Windows 10 22H2: Unbekannt; die Angaben des CNA widersprechen sich, Build bei MSRC prüfen
• Windows 11 23H2: 10.0.22631.7652 oder neuer
• Windows 11 24H2, 25H2, 26H2: 10.0.26100.9711, 10.0.26200.9711, 10.0.26300.9711 oder neuer
• Windows 11 26H1: 10.0.28000.3231 oder neuer
• Windows Server 2012 / 2012 R2: 6.2.9200.26434 / 6.3.9600.23470 oder neuer

Umgehung

Unbekannt. In den Quellen ist keine Workaround des Herstellers dokumentiert.

• Option als Zwischenlösung, nicht vom Hersteller bestätigt: Windows Media Player dort einschränken oder deaktivieren, wo er nicht benötigt wird.
• Nicht vertrauenswürdige Mediendateien und Links an Mail- und Web-Gateways filtern.

Ausnutzung

• Öffentlich bekannt gemacht: Nein
• Exploit-Reife: Unproven (kein öffentlich bekannter Exploit-Code)
• EPSS: unter 1 Prozent
• In freier Wildbahn: Unbekannt, es wurden keine Hinweise auf Ausnutzung gefunden; nicht bestätigt, dass keine Ausnutzung erfolgt

Unsere Empfehlung

• Alle betroffenen Windows-Systeme identifizieren, inklusive Windows 10 1607 und 1809 sowie Windows Server 2012 bis 2016.
• Das Microsoft-Sicherheitsupdate für CVE-2026-96096 installieren und die Build-Nummern bei MSRC prüfen.
• Migration weg von Windows 10 1607 planen, einem veralteten Build, der möglicherweise keine Updates mehr erhält.
• Auf öffentlichen Exploit-Code oder eine Aufnahme in den CISA-KEV-Katalog achten, was die Priorität erhöhen würde.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-96096 msrc.microsoft.com
• Vulners: CVE-2026-96096 (CNA data) vulners.com
• OpenCVE: CVE-2026-96096 app.opencve.io
• Strix: CVE-2026-96096 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 18:18.