Microsoft Windows: Rechteerweiterung in Windows Kernel-Mode Drivers

Zusammenfassung

Ein Integer-Overflow oder Wraparound in der Komponente Windows Kernel-Mode Drivers erlaubt einem lokal berechtigten Angreifer, seine Rechte zu erweitern. Der Angreifer benötigt ein Konto mit niedrigen Rechten auf dem betroffenen System, für den Angriff ist keine Benutzerinteraktion nötig. Das Hauptrisiko für Organisationen besteht darin, dass ein Angreifer, der bereits Code als normaler Benutzer ausführt, SYSTEM-Rechte erlangen kann, insbesondere auf gemeinsam genutzten PCs, Terminalservern und Mehrbenutzersystemen.

Betroffen

• Windows 10 Version 1607 (10.0.14393.0 bis vor 10.0.14393.9612)
• Windows 10 Version 1809, 21H2, 22H2
• Windows 11 Version 23H2, 24H2, 25H2, 26H1, 26H2
• Windows Server 2012 und 2012 R2 (inklusive Server Core)
• Windows Server 2016 und weitere in der Herstellermeldung aufgeführte Server-Versionen
• Genaue betroffene Build-Bereiche je Version: siehe Microsoft Security Update Guide, da die Quellen bei einigen Fix-Builds abweichen

Behoben in

• Windows 10 Version 1607: Build 10.0.14393.9612 gemäss CNA-Eintrag; auf dem Microsoft Security Update Guide verifizieren
• Andere Versionen: Kumulatives Update vom Oktober 2026 für jeden Build installieren; die Fix-Build-Nummern weichen je nach Quelle ab und müssen auf der Microsoft-Meldung bestätigt werden

Umgehung

• Kein Workaround des Herstellers bekannt. Die Installation des Updates ist die Behebung.
• Generische Massnahmen: Least-Privilege-Prinzip für Benutzerkonten anwenden, lokale Anmelderechte einschränken und auf gemeinsam genutzten Systemen begrenzen, wer Code ausführen kann.

Ausnutzung

• Microsoft stuft den Reifegrad des Exploit-Codes als Unproven ein und gibt an, die Schwachstelle sei nicht ausgenutzt worden.
• In der Recherche wurde kein öffentlicher Proof-of-Concept gefunden.
• Im geprüften Snapshot nicht im CISA-KEV-Katalog aufgeführt; den Katalog direkt erneut prüfen.
• Bewertungen weichen ab: VulDB stuft die Schwachstelle als sehr kritisch ein, Microsoft als wichtig.

Unsere Empfehlung

• Das kumulative Update vom Oktober 2026 auf allen betroffenen Windows-Builds installieren, zuerst auf Terminalservern (RDS) und gemeinsam genutzten Mehrbenutzersystemen.
• Den installierten Build auf jedem Host mit dem Microsoft Security Update Guide abgleichen.
• Prüfen, ob Windows 10 Version 1607 noch im Einsatz ist, und einen Upgrade planen, da diese Version nicht mehr unterstützt wird.
• Endpunkte auf anomale Aktivität im Kernel-Modus überwachen und lokale Codeausführung wo möglich einschränken.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-96915 msrc.microsoft.com
• Vulners: CNA record CVE-2026-96915 vulners.com
• OpenCVE: CVE-2026-96915 app.opencve.io
• Strix: CVE-2026-96915 www.strix.ai
• VulDB: CVE-2026-96915 vuldb.com
• VulDB: vulnerability 419643 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 00:44.