Windows Performance Monitor: Remote Code Execution durch ungültigen Zeigerverweis

Zusammenfassung

Der Windows Performance Monitor in mehreren Versionen von Windows 10, Windows 11 und Windows Server gibt einen ungültigen Zeiger oder Verweis frei (CWE-763; CWE-122 ist ebenfalls aufgeführt). Ein nicht autorisierter Angreifer im Netzwerk kann unter Umständen Code ausführen. Der CVSS-Wert 7.5 stammt vom CNA (Microsoft), da die Analyse durch die NVD noch ausstand. Für eine Ausnutzung sind eine hohe Angriffskomplexität und eine Benutzerinteraktion erforderlich.

Betroffen

• Windows 10 Version 1607 und Windows Server 2016 (inklusive Server-Core-Installation): vor 10.0.14393.9688
• Windows 10 Version 1809 und Windows Server 2019 (inklusive Server-Core-Installation): vor 10.0.17763.9487
• Windows 10 Version 21H2: vor 10.0.19044.7846
• Windows 10 Version 22H2: vor 10.0.19045.7846
• Windows 11 Version 23H2: vor 10.0.22631.7711
• Windows 11 Version 24H2: vor 10.0.26100.9974
• Windows 11 Version 25H2: vor 10.0.26200.9974
• Windows 11 Version 26H1: vor 10.0.28000.3501
• Windows 11 Version 26H2: vor 10.0.26300.9974
• Windows Server 2022: vor 10.0.20348.5870

Behoben in

• Kumulative Updates vom November 2026 für die betroffenen Windows-Versionen (Builds gemäss obiger Liste oder höher).
• Die konkreten KB-Nummern pro Version sind nicht verifiziert; die KB-Liste im MSRC-Advisory prüfen.

Umgehung

Unbekannt.

Ausnutzung

• Gemäss vorliegenden Informationen nicht in freier Wildbahn ausgenutzt.
• Kein öffentlicher Proof-of-Concept oder Exploit-Code gefunden.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.

Unsere Empfehlung

• Betroffene Builds und KB-Nummern im MSRC-Advisory bestätigen.
• Kumulatives Update vom November 2026 installieren, zuerst auf Internet-erreichbaren Systemen und Servern.
• Hosts mit Windows 10 1607/1809/21H2 und Server 2016/2019 identifizieren, die nicht mehr unterstützt werden; sie erhalten diesen Fix ohne Extended Security Updates nicht.
• NVD und MSRC auf Änderungen bei Bewertung, Ausnutzungsstatus oder Workarounds überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-96993 msrc.microsoft.com
• CVE Record CVE-2026-96993 www.cve.org
• Strix: CVE-2026-96993 www.strix.ai
• OffSeq Radar: CVE-2026-96993 radar.offseq.com
• Action1: Patch Tuesday November 2026 www.action1.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 05:02.