Windows 10 Version 1607: Out-of-Bounds-Read im Graphics Kernel

Zusammenfassung

Ein Out-of-Bounds-Read im Windows Graphics Kernel von Windows 10 Version 1607 erlaubt einem berechtigten lokalen Angreifer, seine Rechte zu erhöhen. Der Angreifer benötigt lokalen Zugriff und niedrige Berechtigungen, etwa eine bestehende Benutzersitzung, und es ist keine Benutzerinteraktion nötig. Der CVSS-3.1-Basiswert beträgt 7.8 (hoch), und eine aktive Ausnutzung ist nicht bekannt. Laut der Release-Health-Seite von Microsoft hat diese Version das Ende der Updates erreicht, weshalb die Verfügbarkeit weiterer Sicherheitsupdates bestätigt werden muss.

Betroffen

• Microsoft Windows 10 Version 1607, Builds 10.0.14393.0 bis vor 10.0.14393.9612
• Umfang zu bestätigen: Der CNA-Eintrag nennt zusätzlich weitere Versionen von Windows 10, Windows 11 und Windows Server, während der NVD-CPE nur Windows 10 Version 1607 nennt.

Behoben in

• Kumulatives Update KB5126868 vom Oktober 2026 (OS-Build 14393.9612) laut Drittanbieter-Daten; noch nicht auf der MSRC-Seite verifiziert
• Nicht sicherheitsrelevantes Update KB5134123 (OS-Build 14393.9615) enthält die Inhalte von KB5126868

Umgehung

Unbekannt. Es wurde kein Workaround des Herstellers identifiziert; das Einspielen von Updates ist die Behebung.

Ausnutzung

• Nicht im CISA KEV aufgeführt.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• EPSS 0.00318 (unter 1 %).
• Bei der Recherche wurde kein öffentlicher Proof of Concept gefunden; dies schliesst einen solchen nicht aus.

Unsere Empfehlung

• Alle Hosts mit Windows 10 Version 1607 und Windows Server 2016 inventarisieren, einschliesslich nicht verwalteter Geräte.
• Die behobene Version auf der MSRC-Seite prüfen und anschliessend KB5126868 oder KB5134123 vor dem Rollout auf einer Pilotgruppe testen, einschliesslich der bekannten Probleme des Oktober-Updates.
• Eine Migration weg von Version 1607 planen oder eine Option für Extended Security Updates bestätigen, da künftige Kernel-Fehler ungepatcht bleiben.
• Bis zur Behebung lokale Anmeldungen und administrative Rechte auf betroffenen Geräten einschränken.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-96118 msrc.microsoft.com
• Microsoft Release Health: Windows 10 1607 and Server 2016 learn.microsoft.com
• Microsoft Support: KB5134123 Windows 10 1607 update support.microsoft.com
• Microsoft Update Catalog: Windows 10 1607 www.catalog.update.microsoft.com
• OpenCVE: CVE-2026-96118 app.opencve.io
• Vulners VulnCheck record: CVE-2026-96118 vulners.com
• Strix: CVE-2026-96118 www.strix.ai
• Quest KACE: Microsoft Patch Tuesday October 2026 changelog.kace.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 01:04.