Microsoft Windows OLE: Use-after-free führt zu Informationsoffenlegung

Zusammenfassung

Eine Use-after-free-Schwachstelle in der Windows-OLE-Komponente erlaubt einem lokal angemeldeten, berechtigten Angreifer, Informationen aus dem Speicher auszulesen. Der Angreifer benötigt ein lokales Konto mit niedrigen Rechten, und die Auswirkung beschränkt sich auf die Vertraulichkeit. Die Lücke ist nicht aus dem Internet erreichbar, kann aber einem Angreifer helfen, der bereits Code auf einem Gerät ausführt, da preisgegebene Speicherinhalte weitere Angriffe erleichtern können.

Betroffen

• Windows 10 Version 1607: 10.0.14393.0 bis vor 10.0.14393.9688
• Windows 10 Version 1809: 10.0.17763.0 bis vor 10.0.17763.9487
• Windows 10 Version 21H2: 10.0.19044.0 bis vor 10.0.19044.7846
• Windows 10 Version 22H2: 10.0.19045.0 bis vor 10.0.19045.7846
• Windows 11 Version 23H2: 10.0.22631.0 bis vor 10.0.22631.7711
• Windows 11 Version 24H2: 10.0.26100.0 bis vor 10.0.26100.9974
• Windows 11 Version 25H2: 10.0.26200.0 bis vor 10.0.26200.9974
• Windows 11 Version 26H1: 10.0.28000.0 bis vor 10.0.28000.3501
• Windows 11 Version 26H2: 10.0.26300.0 bis vor 10.0.26300.9974
• Windows Server 2016 (inklusive Server Core): 10.0.14393.0 bis vor 10.0.14393.9688
• Windows Server 2019 (inklusive Server Core): 10.0.17763.0 bis vor 10.0.17763.9487
• Windows Server 2022: 10.0.20348.0 bis vor 10.0.20348.5870

Hinweis: Drittanbieter-Quellen nennen für Windows 10 21H2 abweichende Build-Daten. Anhand der MSRC-Tabelle prüfen.

Behoben in

• Behoben im Patch Tuesday vom November 2026 über die regulären kumulativen Windows-Updates.
• Behobene Builds gemäss CVE-Eintrag: 10.0.14393.9688, 10.0.17763.9487, 10.0.22631.7711, 10.0.26200.9974.
• Gemeldete kumulative Updates (nicht verifiziert): KB5132061 (Windows 11 24H2/25H2/26H2), KB5131087 (Windows 11 23H2), KB5131090 (Windows Server 2022). Im Microsoft Update-Katalog bestätigen.

Umgehung

• Unbekannt. In den Quellen wurde keine Workaround gefunden. Die Installation des Fixes ist die Massnahme.

Ausnutzung

• Nicht bekannt, dass die Lücke aktiv ausgenutzt wird.
• Die Reife des Exploit-Codes wird im CVE-Eintrag als Unproven (E:U) bewertet.
• Nicht im Katalog Known Exploited Vulnerabilities der CISA enthalten.
• Öffentlicher Proof of Concept: unbekannt. Es wurde kein öffentlicher Exploit und keine Beschreibung gefunden.

Unsere Empfehlung

• Die Windows-Updates vom November 2026 auf allen betroffenen Systemen im regulären Update-Zyklus installieren.
• Systeme mit den oben genannten älteren Builds sowie Geräte priorisieren, auf denen Benutzer unbekannte Dokumente öffnen.
• Für jedes System die Windows-Version und den Supportstatus prüfen.
• Die behobenen Builds vor dem Rollout im MSRC-Advisory verifizieren.
• Den CISA-KEV-Katalog und öffentliche Exploit-Quellen auf Änderungen des Ausnutzungsstatus überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE record (CVE.org) www.cve.org
• Microsoft Security Update Guide (MSRC) msrc.microsoft.com
• BleepingComputer: November 2026 Patch Tuesday www.bleepingcomputer.com
• Rescana: November 2026 Patch Tuesday and KEV status www.rescana.com
• Senserva: KB5131090 senserva.com
• WindowsForum: November 2026 Patch Tuesday megathread windowsforum.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 16:31.