Microsoft Windows BitLocker: Remote Code Execution durch Heap-Pufferüberlauf

Zusammenfassung

Ein heap-basierter Pufferüberlauf in Windows BitLocker erlaubt einem nicht authentifizierten Angreifer, über das Netzwerk Code auszuführen. Der CNA-Eintrag nennt betroffene Builds von Windows 11 (23H2, 24H2, 25H2, 26H1, 26H2) sowie Windows Server 2022 und 2025. Microsoft bewertet den CVSS-Basiswert mit 9.8 (kritisch) und nennt als maximalen Schweregrad Important; der Angriffspfad und der auslösende Dienst sind in den Quellen nicht beschrieben.

Betroffen

• Windows 11 23H2 (x64 und ARM64): Builds unterhalb 10.0.22631.7652
• Windows 11 24H2: Builds unterhalb 10.0.26100.9711
• Windows 11 25H2: Builds unterhalb 10.0.26200.9711
• Windows 11 26H1: Builds unterhalb 10.0.28000.3231
• Windows 11 26H2: Builds unterhalb 10.0.26300.9711
• Windows Server 2022: Builds unterhalb 10.0.20348.5761
• Windows Server 2025 (inklusive Server Core): Builds unterhalb 10.0.26100.33650
• Die Build-Bereiche stammen aus Drittanbieter-Kopien der CNA-Daten und sollten auf der MSRC-Seite überprüft werden.

Behoben in

• Das von Microsoft für CVE-2026-96909 veröffentlichte Sicherheitsupdate installieren (veröffentlicht am 2026-10-13).
• Korrigierte Builds gemäss CNA-Daten: siehe obige Liste der betroffenen Versionen. Die genauen KB- und Build-Nummern vor der Verteilung im MSRC Security Update Guide bestätigen.

Umgehung

Unbekannt. Es wurde keine Workaround- oder Mitigationsmassnahme des Herstellers identifiziert; das Einspielen des Updates ist die einzige dokumentierte Massnahme.

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
• CISA SSVC (CNA/ADP-Daten): Ausnutzung keine, automatisierbar ja, technische Auswirkung total.
• Microsofts Bewertung verwendet eine nicht nachgewiesene Exploit-Reife (E:U).
• Eine Aufnahme in den CISA-KEV-Katalog konnte nicht bestätigt werden; der Katalog sollte geprüft werden.
• Kein öffentlicher Proof-of-Concept in den durchgeführten Recherchen gefunden; dies beweist jedoch nicht, dass keiner existiert.

Unsere Empfehlung

• Alle Windows-11- und Windows-Server-Systeme inventarisieren und deren Builds mit der Liste der betroffenen Versionen vergleichen.
• Systeme mit Exponierung nach aussen und Server zuerst patchen; die korrigierte Build-Nummer auf der MSRC-Seite verifizieren.
• Prüfen, ob Hosts einen älteren oder nicht mehr unterstützten Build betreiben, der die Korrektur nicht erhalten würde.
• Feststellen, welche Netzwerkdienste für nicht vertrauenswürdige Netze erreichbar sind, da der auslösende Pfad in den Quellen nicht dokumentiert ist.
• Auf Indikatoren für Ausnutzung überwachen und den CISA-KEV-Katalog sowie öffentliche PoC-Quellen regelmässig erneut prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-96909 msrc.microsoft.com
• OpenCVE: CVE-2026-96909 app.opencve.io
• Vulners CVE list entry: CVE-2026-96909 vulners.com
• Strix: CVE-2026-96909 www.strix.ai
• VulDB: CVE-2026-96909 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 18:16.