Windows Kernel: Heap-basierter Pufferüberlauf ermöglicht lokale Rechteerweiterung

Zusammenfassung

Ein heap-basierter Pufferüberlauf im Windows Kernel erlaubt einem berechtigten lokalen Angreifer, seine Rechte zu erweitern. Der CVE-Eintrag nennt Windows 10, Windows 11, Windows Server 2012, 2012 R2 und 2016 als betroffen, die CPE-Daten nennen zusätzlich Windows Server 2022. Ein Angreifer benötigt ein lokales Konto mit niedrigen Rechten, daher besteht das Risiko vor allem als zweiter Schritt nach einer anderen Kompromittierung, etwa einem gestohlenen Passwort. Eine erfolgreiche Ausnutzung würde die volle Kontrolle über das betroffene System ermöglichen.

Betroffen

• Gemäss CVE-Eintrag: Windows 10 Version 1607 (10.0.14393.0 bis unter 10.0.14393.9612), 1809 (unter 10.0.17763.9376), 21H2 (unter 10.0.19044.7807), 22H2 (unter 10.0.19045.7807)
• Gemäss CVE-Eintrag: Windows 11 23H2 (unter 10.0.22631.7652), 24H2 und 25H2 (unter 10.0.26100.9711 bzw. 10.0.26200.9711), 26H1 (unter 10.0.28000.3231), 26H2 (unter 10.0.26300.9711)
• Gemäss CVE-Eintrag: Windows Server 2012 und 2012 R2, inklusive Server-Core-Installation (unter 6.2.9200.26434 bzw. 6.3.9600.23470)
• Gemäss CVE-Eintrag: Windows Server 2016 (unter 10.0.14393.9612)
• Windows Server 2022: in den CPE-Daten des CVE-Eintrags aufgeführt, nicht in der Liste der betroffenen Versionen des CNA. Drittquellen deuten auf Builds unter 10.0.20348.5761 hin, dies ist nicht bestätigt. Unbekannt, bis es auf dem MSRC-Portal geprüft ist.

Behoben in

• Korrigierte Builds gemäss CVE-Eintrag: siehe die oben genannten Angaben «unter», die pro Zweig die ersten korrigierten Builds sind.
• Windows Server 2022: Das kumulative Update vom Oktober 2026, KB5126655, wird mit Build 10.0.20348.5761 angegeben. Nicht bestätigt. Neuestes kumulatives Update installieren und den korrigierten Build auf dem MSRC-Portal prüfen.

Umgehung

• Keine Workaround-Massnahme des Herstellers gefunden. Die Installation des Sicherheitsupdates ist die Behebung.
• Lokale und interaktive Anmeldung an Servern auf benötigte Administratoren und Mitarbeitende beschränken.
• Nicht benötigte lokale Konten entfernen.
• Server auf neue privilegierte Prozesse oder Dienste überwachen.

Ausnutzung

• CISA-SSVC-Daten: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Keine bestätigte Ausnutzung in freier Wildbahn gefunden. Kein öffentlicher Proof of Concept gefunden.
• Ein VulDB-Eintrag behauptet einen Handel auf Broker-Märkten seit dem 23. Sep 2026. Dies ist eine nicht überprüfte Schätzung.
• SonicWall führt eine Erkennungssignatur für diese CVE. Eine Signatur belegt keine Nutzung in freier Wildbahn.
• Der Status kann sich seit der Recherche geändert haben. Unbekannt.

Unsere Empfehlung

• Alle Windows-Server, einschliesslich Server 2022, auf die installierte Build-Nummer prüfen und mit dem korrigierten Build auf dem MSRC-Portal vergleichen.
• Sicherheitsupdates vom Oktober 2026 im regulären monatlichen Zyklus installieren. Priorität haben gemeinsam genutzte Server, Remote-Desktop-/Terminal-Server und Dateiserver mit vielen Benutzenden.
• Lokale Anmelderechte und gemeinsam genutzte Administratorkonten auf Servern überprüfen.
• Für Windows Server 2022 einen Upgrade-Pfad planen, da der Mainstream-Support beendet ist und der erweiterte Support bis 14. Okt 2031 läuft.
• MSRC und CISA KEV auf Änderungen des Ausnutzungsstatus prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-96929 msrc.microsoft.com
• OpenCVE: CVE-2026-96929 app.opencve.io
• Strix: CVE-2026-96929 www.strix.ai
• VulDB: vuln 419646 vuldb.com
• SonicWall: Microsoft security bulletin coverage for October 2026 www.sonicwall.com
• Microsoft: Windows Server release information learn.microsoft.com
• Merill MC1506288 mc.merill.net
• Wikipedia: Windows Server 2022 en.wikipedia.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 00:41.