Windows TCP/IP: Heap-basierter Pufferüberlauf ermöglicht lokale Rechteerweiterung

Zusammenfassung

Ein heap-basierter Pufferüberlauf im Windows-TCP/IP-Netzwerkstack erlaubt einem Angreifer mit einem gültigen Low-Privilege-Konto auf dem lokalen System, seine Rechte zu erweitern, potenziell bis zu SYSTEM. Der Angreifer muss bereits lokal angemeldet sein, daher ist die Lücke nicht direkt aus dem Internet erreichbar. Das Hauptrisiko besteht nach einer initialen Kompromittierung, zum Beispiel durch Phishing, Malware oder einen gestohlenen Benutzerzugang.

Betroffen

• Windows 10 Version 1607 (Builds vor 10.0.14393.9688)
• Windows 10 Version 1809 (Builds vor 10.0.17763.9487)
• Windows 10 Version 21H2 (Builds vor 10.0.19044.7846)
• Windows 10 Version 22H2 (Builds vor 10.0.19045.7846)
• Windows 11 Version 23H2 (Builds vor 10.0.22631.7711)
• Windows 11 Version 24H2 und 25H2 (Builds vor 10.0.26100.9974 beziehungsweise 10.0.26200.9974)
• Windows 11 Version 26H1 (Builds vor 10.0.28000.3501)
• Windows 11 Version 26H2 (Builds vor 10.0.26300.9974)
• Windows Server 2016 (Builds vor 10.0.14393.9688)
• Windows Server 2019 (Builds vor 10.0.17763.9487)
• Windows Server 2022 (Builds vor 10.0.20348.5870)
• Windows Server 2025: Unbekannt.

Behoben in

• Das kumulative Sicherheitsupdate vom November 2026 für die jeweilige Windows-Version und den jeweiligen Build installieren.
• Korrigierte Builds gemäss CVE-Eintrag: 10.0.14393.9688, 10.0.17763.9487, 10.0.19044.7846, 10.0.19045.7846, 10.0.22631.7711, 10.0.26100.9974, 10.0.26200.9974, 10.0.28000.3501, 10.0.26300.9974, 10.0.20348.5870.
• Genaue KB-Nummern pro Produkt: Unbekannt. Im MSRC-Advisory prüfen.

Umgehung

Unbekannt. In den geprüften Quellen wurde keine Gegenmassnahme veröffentlicht. Das Einspielen des Sicherheitsupdates ist die Behebung.

Ausnutzung

• Die CISA-SSVC-Bewertung führt Exploitation als "none" und Automatisierbarkeit als "no".
• Der CVSS-Vektor verwendet die Exploit-Reife "unproven", daher war zum Veröffentlichungszeitpunkt kein öffentlicher Exploit-Code bekannt.
• Es wurden keine Berichte über Ausnutzung in freier Wildbahn und kein Eintrag im CISA-KEV-Katalog gefunden. Dieser Status kann sich ändern.

Unsere Empfehlung

• Windows-10-, Windows-11- und Windows-Server-Systeme im Update-Zyklus vom November 2026 patchen, zuerst Terminal-Server, Dateiserver und andere Mehrbenutzersysteme.
• Die genaue KB pro Build im MSRC-Advisory bestätigen.
• Lokale Anmelderechte auf gemeinsam genutzten Systemen einschränken und das Least-Privilege-Prinzip anwenden.
• EDR aktiv halten und auf Aktivitäten zur Rechteerweiterung überwachen.
• Windows-10-Systeme 1607 und 1809 ersetzen oder aktualisieren, falls sie noch im Einsatz sind, da es sich um ältere Builds handelt.
• NVD und MSRC in der kommenden Woche auf Exploit-Berichte oder Änderungen der betroffenen Versionen prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide: CVE-2026-96102 msrc.microsoft.com
• CVE Record: CVE-2026-96102 www.cve.org
• Strix AI: CVE-2026-96102 (secondary, verify against MSRC) www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 02:35.