Microsoft Windows: Sicherheitslücke zur Rechteerweiterung im Desktop Window Manager

Zusammenfassung

Im Desktop Window Manager (DWM) mehrerer Windows-10-, Windows-11- und Windows-Server-Versionen besteht eine lokale Schwachstelle zur Rechteerweiterung (CWE-763, ungültiger Pointer oder ungültige Referenz). Ein Angreifer mit niedrigen Berechtigungen auf dem System kann diese Lücke ausnutzen, um höhere Rechte bis hin zu SYSTEM zu erlangen. Es ist keine Benutzerinteraktion nötig, der Angreifer benötigt aber zuerst einen lokalen Zugriff, weshalb die Lücke typischerweise nach einer initialen Kompromittierung eingesetzt wird.

Betroffen

• Windows 10 Version 1809 und Windows Server 2019 (inklusive Server Core): Builds vor 10.0.17763.9487
• Windows 10 Version 21H2: Builds vor 10.0.19044.7846
• Windows 10 Version 22H2: Builds vor 10.0.19045.7846
• Windows 11 Version 23H2: Builds vor 10.0.22631.7711
• Windows 11 Version 24H2: Builds vor 10.0.26100.9974
• Windows 11 Version 25H2: Builds vor 10.0.26200.9974
• Windows 11 Version 26H2: Builds vor 10.0.26300.9974
• Windows Server 2022: Builds vor 10.0.20348.5870
• Windows Server 2025 (inklusive Server Core): Builds vor 10.0.26100.33822

Behoben in

Behoben in den Sicherheitsupdates von Microsoft vom November 2026 (Patch Tuesday). Installieren Sie das kumulative Update für Ihren Build. KB-Nummern: siehe Advisory von MSRC.

Umgehung

Unbekannt.

Ausnutzung

• Zum Zeitpunkt der Veröffentlichung ist keine Ausnutzung bekannt.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Kein öffentlicher Proof-of-Concept gefunden.

Unsere Empfehlung

• Prüfen Sie die betroffenen Windows-Builds in Ihrem Asset-Inventar, mit Priorität auf Servern und Systemen mit mehreren Benutzern wie RDS- oder Terminalservern.
• Installieren Sie das kumulative Update vom November 2026 auf allen betroffenen Systemen und verifizieren Sie die Installation.
• Prüfen Sie den Lifecycle-Status älterer Builds wie 1809 und 21H2, da diese möglicherweise keinen allgemeinen Support mehr erhalten.
• Überwachen Sie das MSRC-Advisory und den CISA-KEV-Katalog auf Meldungen zur Ausnutzung.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Response Center: CVE-2026-96174 msrc.microsoft.com
• CVE Record CVE-2026-96174 www.cve.org
• BleepingComputer: Microsoft November 2026 Patch Tuesday www.bleepingcomputer.com
• Zero Day Initiative: November 2026 Security Update Review www.zerodayinitiative.com
• OffSeq Radar: CVE-2026-96174 radar.offseq.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 02:27.