Microsoft Windows Codecs Library: Informationsoffenlegung durch nicht initialisierte Ressource

Zusammenfassung

Die Microsoft Windows Codecs Library enthält eine Schwachstelle (CWE-908), bei der eine Ressource verwendet wird, ohne zuvor initialisiert worden zu sein. Ein berechtigter lokaler Benutzer mit niedrigen Rechten kann dadurch Informationen aus dem Speicher auslesen, die Auswirkung beschränkt sich jedoch auf die Informationsoffenlegung. Der Angriff erfordert lokalen Zugriff und eine komplexe Bedingung, daher besteht das Risiko vor allem auf gemeinsam genutzten Systemen oder auf Hosts, auf denen nicht vertrauenswürdige Benutzer oder Schadsoftware bereits Fuss gefasst haben.

Betroffen

• Windows 10 Version 1607 und Windows Server 2016 (inkl. Server Core): Builds 10.0.14393.0 bis unter 10.0.14393.9688
• Windows 10 Version 1809 und Windows Server 2019 (inkl. Server Core): Builds 10.0.17763.0 bis unter 10.0.17763.9487
• Windows 10 Version 21H2 und 22H2: Builds 10.0.19044.0 bis unter 10.0.19044.7846 und 10.0.19045.0 bis unter 10.0.19045.7846
• Windows 11 Version 23H2: Builds 10.0.22631.0 bis unter 10.0.22631.7711
• Windows 11 Version 24H2 und 25H2: Builds 10.0.26100.0 bis unter 10.0.26100.9974 und 10.0.26200.0 bis unter 10.0.26200.9974
• Windows 11 Version 26H1: Builds 10.0.28000.0 bis unter 10.0.28000.3501
• Windows 11 Version 26H2: Builds 10.0.26300.0 bis unter 10.0.26300.9974
• Windows Server 2022: Builds 10.0.20348.0 bis unter 10.0.20348.5870

Behoben in

• Sicherheitsupdate im Rahmen des Patch Tuesday vom November 2026 (CNA-Eintrag von Microsoft).
• Die genauen korrigierten Builds je Produkt sind in den geprüften Quellen nicht verifiziert; Prüfung im MSRC Security Update Guide für den jeweiligen Build.
• KB-Artikelnummer: Unbekannt.

Umgehung

Unbekannt. Es wurde kein dokumentierter Workaround gefunden; Microsoft verweist auf das Sicherheitsupdate als Lösung.

Ausnutzung

• Aktive Ausnutzung in freier Wildbahn: keine Hinweise gefunden.
• Öffentlicher Proof of Concept: keiner gefunden.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung teilweise.
• Rapid7 stuft die Schwachstelle als 'Exploitation Less Likely' ein.

Unsere Empfehlung

• Das Sicherheitsupdate vom November 2026 im regulären Patch-Tuesday-Zyklus auf allen betroffenen Windows-10-, Windows-11- und Windows-Server-Systemen installieren.
• Gemeinsam genutzte Systeme, Remote-Desktop- bzw. Terminalserver und Hosts mit nicht vertrauenswürdigen lokalen Benutzern zuerst patchen.
• Vor dem Rollout den korrigierten Build jedes Systems auf der MSRC-Seite prüfen.
• Prüfen, ob Windows-10-Geräte der Versionen 1607 oder 1809 über Extended Security Updates (ESU) abgedeckt sind, da sie sonst das Update nicht erhalten.
• Die im selben Release behobene Remote-Code-Execution-Schwachstelle in der Windows Codecs Library CVE-2026-113749 prüfen, die für KMU die grössere Relevanz hat.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-96150 msrc.microsoft.com
• CVE Record: CVE-2026-96150 www.cve.org
• Rapid7: November 2026 Patch Tuesday review www.rapid7.com
• Qualys: Microsoft Patch Tuesday November 2026 review threatprotect.qualys.com
• Strix.ai: CVE-2026-96150 www.strix.ai
• GBHackers: Microsoft November 2026 Patch Tuesday gbhackers.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 16:02.