Microsoft Windows Desktop Window Manager: Rechteausweitung über Heap-Überlauf

Zusammenfassung

Ein heap-basierter Pufferüberlauf im Desktop Window Manager (DWM) von Windows erlaubt einem berechtigten lokalen Benutzer eine Rechteausweitung. Ein Angreifer benötigt dafür einen bestehenden Zugang mit niedrigen Rechten auf dem System, etwa über ein Phishing-Konto oder eine schädliche Anwendung. Eine erfolgreiche Ausnutzung hätte eine hohe Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit des Systems.

Betroffen

• Windows 11 Version 23H2: 10.0.22631.0 vor 10.0.22631.7711
• Windows 11 Version 24H2: 10.0.26100.0 vor 10.0.26100.9974
• Windows 11 Version 25H2: 10.0.26200.0 vor 10.0.26200.9974 (gemäss CVE-Eintrag)
• Windows 11 Version 26H1: 10.0.28000.0 vor 10.0.28000.3501 (gemäss CVE-Eintrag)
• Windows 11 Version 26H2: 10.0.26300.0 vor 10.0.26300.9974 (gemäss CVE-Eintrag)
• Windows Server 2025 (inklusive Server Core): 10.0.26100.0 vor 10.0.26100.33822 (gemäss CVE-Eintrag; Build-Nummer weicht von 24H2 ab und ist nicht verifiziert)
• Windows 10 und ältere Server-Editionen: Unbekannt.

Behoben in

• Windows 11 Version 23H2: Build 10.0.22631.7711 oder neuer
• Windows 11 Version 24H2: Build 10.0.26100.9974 oder neuer
• Windows 11 Version 25H2, 26H1, 26H2 und Windows Server 2025: korrigierte Builds wie oben aufgeführt, auf der MSRC-Seite zu verifizieren
• Kumulatives Update vom November 2026 (Patch Tuesday, 10. November 2026)

Umgehung

Keine Workaround des Herstellers bekannt.

Ausnutzung

• Zum Zeitpunkt der Recherche wurde keine Ausnutzung in freier Wildbahn gefunden.
• Kein öffentlicher Proof of Concept gefunden.
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
• Die CVSS-Exploit-Reife ist 'Unproven' (E:U). Dies ist ein Bewertungsfeld und keine Bestätigung.
• Der ausgenutzte Zero-Day des Novemberrelease wird in einigen Berichten als Outlook-Problem genannt; die Quellen widersprechen sich bei der CVE-ID, daher lässt sich eine Ausnutzung nicht vollständig ausschliessen.

Unsere Empfehlung

• Das kumulative Update vom November 2026 auf allen betroffenen Windows-11- und Windows-Server-2025-Systemen installieren; dabei gemeinsam genutzte, administrativ stark genutzte und Remote-Arbeitsplätze priorisieren.
• Vor dem Rollout den korrigierten Build für jede Windows-Version im MSRC Security Update Guide prüfen, da einige Build-Nummern nicht verifiziert sind.
• Das Least-Privilege-Prinzip für Standardbenutzer durchsetzen und EDR sowie zeitnahes Patchen aufrechterhalten, um die Folgen eines lokalen Zugangs zu begrenzen.
• Endpunkte auf verdächtige Versuche der Rechteausweitung überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Response Center: CVE-2026-96103 msrc.microsoft.com
• CVE.org Record CVE-2026-96103 www.cve.org
• Strix: CVE-2026-96103 (third-party mirror, unverified) www.strix.ai
• BleepingComputer: Microsoft November 2026 Patch Tuesday www.bleepingcomputer.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 02:36.