Microsoft Windows Media Foundation: Remote Code Execution (heap-basierter Pufferüberlauf)

Zusammenfassung

Ein heap-basierter Pufferüberlauf in Windows Media Foundation, dem Multimedia-Framework von Windows-Clients und -Servern, ermöglicht die Ausführung von Code über das Netzwerk. Der veröffentlichte CVSS-3.1-Vektor (9.8, kritisch) deutet auf keine Authentifizierung und keine Benutzerinteraktion hin, dies ist jedoch noch nicht gegen das MSRC-Advisory verifiziert, und NVD befindet sich noch in der Analyse. Eine erfolgreiche Ausnutzung würde einem Angreifer die volle Kontrolle über das betroffene System verschaffen.

Betroffen

• Windows 10 Version 1607 und Windows Server 2016 (inklusive Server-Core-Installation): Builds vor 10.0.14393.9688
• Windows 10 Version 1809 und Windows Server 2019 (inklusive Server-Core-Installation): Builds vor 10.0.17763.9487
• Windows 10 Version 21H2 und 22H2: Builds vor 10.0.19044.7846 bzw. 10.0.19045.7846
• Windows 11 Version 23H2: Builds vor 10.0.22631.7711
• Windows 11 Version 24H2 und 25H2 sowie Windows 11 Version 26H2: Builds vor 10.0.26100.9974, 10.0.26200.9974 bzw. 10.0.26300.9974
• Windows 11 Version 26H1: Builds vor 10.0.28000.3501
• Windows Server 2022: Builds vor 10.0.20348.5870

Behoben in

• Behoben in den Builds, die oben nicht als betroffen aufgeführt sind (die betroffenen Bereiche enden jeweils beim ersten behobenen Build). KB-Artikelnummern: Unbekannt.

Umgehung

Unbekannt. Es wurde keine Herstellermassnahme gefunden. Das MSRC-Advisory auf eine veröffentlichte Workaround-Empfehlung prüfen.

Ausnutzung

• Zum Zeitpunkt der Recherche ist keine Ausnutzung bekannt (kein KEV-Eintrag, kein öffentlicher Proof of Concept gefunden).
• CISA-SSVC-Bewertung: Exploitation none, Automatable yes, Technical Impact total.

Unsere Empfehlung

• Das MSRC-Advisory öffnen und Angriffsvektor, benötigte Berechtigungen und Benutzerinteraktion bestätigen, bevor die Priorität festgelegt wird.
• Windows-Clients und -Server, inklusive Server-Core-Installationen, im nächsten Update-Zyklus patchen, zuerst die aus dem Internet erreichbaren Systeme und solche, die Dateien verarbeiten.
• Bis zum Patch die Exposition gegenüber nicht vertrauenswürdigen Mediendateien wie E-Mail-Anhängen, Downloads und Dateivorschauen einschränken.
• NVD und den CISA-KEV-Katalog auf Statusänderungen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Response Center: CVE-2026-96157 advisory msrc.microsoft.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 20:31.