Windows Secondary Logon: Informationsoffenlegung durch Out-of-Bounds Read
Zusammenfassung
Ein lokaler Out-of-Bounds Read im Windows-Dienst Secondary Logon kann Informationen offenlegen. Ein berechtigter Angreifer mit einem gültigen Low-Privilege-Konto auf dem System kann sensible Daten aus dem Speicher auslesen, aber das System nicht verändern oder stören. Eine Ausnutzung aus dem Internet ist nicht angezeigt.
Betroffen
- Windows 10 Version 1607 (inklusive Windows Server 2016, auch Server Core)
- Windows 10 Version 1809 (inklusive Windows Server 2019, auch Server Core)
- Windows 10 Version 21H2
- Windows 10 Version 22H2
- Windows 11 Version 23H2
- Windows 11 Version 24H2
- Windows 11 Version 25H2
- Windows 11 Version 26H1
- Windows 11 Version 26H2
- Windows Server 2022
Behoben in
- Windows 10 1607 und Server 2016: 10.0.14393.9688 oder neuer
- Windows 10 1809 und Server 2019: 10.0.17763.9487 oder neuer
- Windows 10 21H2: 10.0.19044.7846 oder neuer
- Windows 10 22H2: 10.0.19045.7846 oder neuer
- Windows 11 23H2: 10.0.22631.7711 oder neuer
- Windows 11 24H2 und 25H2: 10.0.26100.9974 oder neuer (25H2 und 26H2 laut Herstellerangabe)
- Windows 11 26H1: 10.0.28000.3501 oder neuer
- Windows 11 26H2: 10.0.26300.9974 oder neuer
- Windows Server 2022: 10.0.20348.5870 oder neuer
Umgehung
Unbekannt.
Ausnutzung
- Nicht als in freier Wildbahn ausgenutzt bekannt.
- CISA SSVC: Ausnutzung keine, nicht automatisierbar.
- Zum Zeitpunkt der Erstellung wurde kein öffentlicher Proof of Concept oder Exploit gefunden.
Unsere Empfehlung
- Das Windows-Sicherheitsupdate vom November 2026 auf allen betroffenen Systemen installieren.
- Die installierte Build-Version jedes Geräts mit den oben genannten Fixversionen vergleichen; Windows-10-Systeme mit 1607, 1809, 21H2 oder 22H2 benötigen ESU- oder LTSC-Lizenzierung.
- Mehrbenutzersysteme, Terminalserver und gemeinsam genutzte Arbeitsstationen priorisieren.
- Lokale Konten einschränken und das Least-Privilege-Prinzip anwenden.
- Auf öffentlichen Exploit-Code und Änderungen beim Ausnutzungsstatus achten.
Angaben von Microsoft (Patch Tuesday November 2026)
- Schweregrad (Microsoft)
- Hoch
- Auswirkung
- Offenlegung von Informationen – Secondary Logon
- Stand am Patch Tuesday
- Weder ausgenutzt noch öffentlich bekannt
- Einschätzung der Ausnutzbarkeit
- Ausnutzung weniger wahrscheinlich
- Produktfamilie
- Windows, Windows ESU (erweiterte Sicherheitsupdates)
- Updates (KB)
- KB5131291, KB5131085, KB5131096, KB5131090, KB5131087, KB5132061
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Microsoft Security Update Guide: CVE-2026-96989 msrc.microsoft.com
- CVE Record CVE-2026-96989 www.cve.org
- CVE List V5 release cve_2026-11-11_0200Z github.com
- Rapid7 Patch Tuesday November 2026 (EM) www.rapid7.com
- Rapid7 EM Patch Tuesday November 2026 www.rapid7.com
- OffSeq Radar: CVE-2026-96989 radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 16:17.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.