Microsoft Windows LSASS: Remote Code Execution durch Out-of-Bounds-Write

Zusammenfassung

Ein kritischer Out-of-Bounds-Write im Windows Local Security Authority Subsystem Service (LSASS) erlaubt einem nicht authentifizierten Angreifer über ein Netzwerk, Code auszuführen. LSASS übernimmt Authentifizierung und Sicherheitsrichtlinien, weshalb eine Kompromittierung auf einem Domänencontroller oder Server die Kontrolle über die Windows-Domäne ermöglichen könnte. Microsoft und NVD bewerten die Schwachstelle mit 9.8 (CVSS 3.1). Welcher Netzwerkdienst oder welches Protokoll die Schwachstelle auslöst, ist in den geprüften Quellen nicht angegeben.

Betroffen

• Windows 10 Version 1809 und Windows Server 2019 (inklusive Server Core): 10.0.17763.0 bis vor 10.0.17763.9376
• Windows 10 Version 21H2: 10.0.19044.0 bis vor 10.0.19044.7807
• Windows 10 Version 22H2: 10.0.19045.0 bis vor 10.0.19045.7807
• Windows 11 Version 23H2: 10.0.22631.0 bis vor 10.0.22631.7652
• Windows 11 Version 24H2: 10.0.26100.0 bis vor 10.0.26100.9711
• Windows 11 Version 25H2: 10.0.26200.0 bis vor 10.0.26200.9711
• Windows 11 Version 26H1: 10.0.28000.0 bis vor 10.0.28000.3231
• Windows 11 Version 26H2: 10.0.26300.0 bis vor 10.0.26300.9711
• Windows Server 2022: 10.0.20348.0 bis vor 10.0.20348.5761
• Windows Server 2025 (inklusive Server Core): 10.0.26100.0 bis vor 10.0.26100.33650
• Hinweis: Die NVD listet in den CPE-Daten nur Windows 10 1809; die vollständige Liste ist in der MSRC-Tabelle zu prüfen.

Behoben in

• Das Microsoft-Sicherheitsupdate vom Oktober 2026 für die jeweilige Windows-Version installieren.
• Windows 10 Version 1809 / Server 2019: 10.0.17763.9376 (nicht verifiziert, Drittquelle)
• Windows 10 Version 21H2: Oktober-2026-Update gemäss KB-Artikel 5126657 (genauer Build nicht verifiziert)
• Andere Versionen: Die fixen Builds sind im MSRC-Advisory aufgeführt.

Umgehung

• In den geprüften Quellen keine veröffentlicht.

Ausnutzung

• CISA SSVC: Exploitation none; der Wert für Automatable widerspricht sich zwischen den Quellen.
• Nicht in der CISA-KEV-Liste.
• Kein öffentlicher Proof of Concept gefunden.
• Keine Berichte über Ausnutzung in freier Wildbahn gefunden; Konfidenz moderat, da die Recherche begrenzt war.

Unsere Empfehlung

• Betroffene und fixe Builds im MSRC-Advisory vor der Verteilung prüfen.
• Domänencontroller und aus dem Internet erreichbare Server zuerst patchen, danach alle übrigen Windows-Systeme.
• Prüfen, ob noch Windows-10-1809-Systeme im Einsatz sind; nicht unterstützte Systeme upgraden statt nur patchen.
• Netzwerkexposition LSASS-naher Dienste prüfen und MSRC sowie CISA auf Änderungen des Ausnutzungsstatus beobachten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-96219 msrc.microsoft.com
• OpenCVE: CVE-2026-96219 (KEV and SSVC data) app.opencve.io
• VulDB: CVE-2026-96219 vuldb.com
• Strix: CVE-2026-96219 (version ranges, contains errors) www.strix.ai
• Senserva KB 5126657 (Windows 10 21H2 update) senserva.com
• Vulners VulnRichment: CVE-2026-96219 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 18:18.