Windows Media Foundation: Lokale Rechteausweitung durch Use-after-Free

Zusammenfassung

Eine Use-after-Free-Schwachstelle (CWE-416) in der Komponente Windows Media Foundation von Microsoft erlaubt einem lokalen Angreifer mit niedrigen Rechten, seine Berechtigungen zu erhöhen. Der Angreifer benötigt zuvor lokale Codeausführung oder ein Konto mit niedrigen Rechten. Die Lücke ist nicht aus dem Internet erreichbar; das Hauptrisiko besteht in der Verkettung mit einer weiteren Schwachstelle nach einem Phishing- oder Malware-Einstieg, besonders auf Terminal- oder RDS-Servern.

Betroffen

• Windows 10 Version 1809 und Windows Server 2019 (inklusive Server-Core-Installation): Builds vor 10.0.17763.9376
• Windows 10 Version 21H2: Builds vor 10.0.19044.7807
• Windows 10 Version 22H2: Builds vor 10.0.19045.7807
• Windows 11 Version 23H2: Builds vor 10.0.22631.7652
• Windows 11 Version 24H2: Builds vor 10.0.26100.9711
• Windows 11 Version 25H2: Builds vor 10.0.26200.9711
• Windows 11 Version 26H1: Builds vor 10.0.28000.3231
• Windows 11 Version 26H2: Builds vor 10.0.26300.9711

Behoben in

• Windows 10 1809 und Server 2019: Build 10.0.17763.9376 über KB5126651 (veröffentlicht am 13. Okt. 2026)
• Out-of-Band-Nachfolgeupdate für Windows 10 1809 und Server 2019: KB5134124 (Build 17763.9378, veröffentlicht am 26. Okt. 2026), empfohlen
• Andere Branches: Fixe Builds gemäss Liste unter Betroffene Versionen, aus den Updates vom Oktober 2026
• Die Zuordnung dieser CVE zu KB5126651 basiert auf CNA-Build-Daten und einer Drittquelle; sie ist im KB-Text von Microsoft nicht bestätigt

Umgehung

Unbekannt.

• Keine offizielle Workaround- oder Mitigationsmassnahme gefunden. Patchen ist die Abhilfe.

Ausnutzung

• In freier Wildbahn: Unbekannt. Keine Quelle gefunden, die diese CVE als ausgenutzt nennt.
• Öffentlicher Proof of Concept: keiner gefunden.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• EPSS: 0.00318 (sehr niedrig).

Unsere Empfehlung

• KB5134124 auf allen betroffenen Windows-10-1809- und Server-2019-Hosts installieren; mindestens KB5126651 installieren.
• Die Updates vom Oktober 2026 für alle anderen betroffenen Windows-10- und Windows-11-Branches installieren.
• RDS-/Terminal-Server und Mehrbenutzer-Server priorisieren.
• Prüfen, dass alle Hosts einen unterstützten Windows-Branch verwenden; Windows 10 1809 und Server 2019 müssen gepatcht sein.
• Die Liste der fixen Builds vor dem Schliessen des Tickets mit dem MSRC-Eintrag abgleichen.
• Auf Hosts mit vielen Benutzersitzungen auf ungewöhnliche Berechtigungsänderungen achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Response Center: CVE-2026-102201 msrc.microsoft.com
• NVD mirror (Vulners): CVE-2026-102201 vulners.com
• CVE List (Vulners): CVE-2026-102201 CNA data vulners.com
• Microsoft KB5126651 (Windows 10 1809 security update) support.microsoft.com
• Microsoft KB5134124 (Windows 10 1809 update) support.microsoft.com
• Microsoft Update Catalog: KB5126651 www.catalog.update.microsoft.com
• VulDB entry 417981 vuldb.com
• Tenable plugin 365467 www.tenable.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 05:14.