Microsoft Windows: Use-after-free im Broadcast DVR User Service
Zusammenfassung
Ein Use-after-free-Fehler (CWE-416) im Windows Broadcast DVR User Service erlaubt einem berechtigten lokalen Benutzer, seine Rechte zu erhöhen. Ein Angreifer benötigt ein gültiges Konto mit niedrigen Rechten auf dem betroffenen Host, und die Angriffskomplexität ist hoch. Die Schwachstelle ist daher ein Eskalationsschritt nach einem initialen Zugriff und kein Einstiegspunkt aus dem Internet. Der NVD-Score beträgt CVSS 7.0 (HIGH), VulDB nennt 8.8. Eine Ausnutzung wurde nicht gemeldet.
Betroffen
- Windows 10 Version 1809 (Builds unterhalb 10.0.17763.9376)
- Windows 10 Version 21H2 (Builds unterhalb 10.0.19044.7807)
- Windows 10 Version 22H2 (Builds unterhalb 10.0.19045.7807)
- Windows 11 Version 23H2 (Builds unterhalb 10.0.22631.7652)
- Windows 11 Version 24H2 (Builds unterhalb 10.0.26100.9711)
- Windows 11 Version 25H2 (Builds unterhalb 10.0.26200.9711)
- Windows 11 Version 26H1 (Builds unterhalb 10.0.28000.3231)
- Windows 11 Version 26H2 (Builds unterhalb 10.0.26300.9711)
- Windows Server 2019, inklusive Server Core (Builds unterhalb 10.0.17763.9376)
Hinweis: Der CPE-Eintrag der NVD nennt nur Windows 10 1809; die Daten des CNA nennen die oben aufgeführten Produkte.
Behoben in
- Microsoft-Sicherheitsupdates vom 13. Oktober 2026 für jeden betroffenen Build. Laut Aggregatoren (nicht verifiziert): KB5126651 (17763.9376), KB5126657 (19044.7807 und 19045.7807), KB5127648 (26100, 26200 und 26300 mit 9711), KB5126653 (22631.7652), KB5127646 (28000.3231). Die KB-Nummern vor dem Rollout im MSRC-Advisory prüfen.
Umgehung
Unbekannt. In den geprüften Quellen ist keine Massnahme dokumentiert; das Update ist die einzige bekannte Behebung.
Ausnutzung
- CISA SSVC: Ausnutzung none, nicht automatisierbar, totale technische Auswirkung.
- Keine Hinweise auf aktive Ausnutzung gefunden; nicht gegen den CISA KEV geprüft.
- Kein öffentlicher Proof of Concept gefunden.
- EPSS 0.00252 (niedrig).
Unsere Empfehlung
- Das Oktober-2026-Cumulative-Update auf allen betroffenen Windows-10-, Windows-11- und Windows-Server-2019-Hosts installieren, nachdem die KB-Nummern im MSRC geprüft wurden.
- Priorität haben gemeinsam genutzte Arbeitsstationen, Terminalserver und Hosts, auf denen unbekannte Benutzer oder Schadsoftware laufen könnten.
- Verbleibende Windows-10-1809- oder Server-2019-Hosts suchen und deren Supportstatus prüfen.
- Endpunkte auf ungewöhnliche Rechteerhöhungen überwachen.
Angaben von Microsoft (Patch Tuesday Oktober 2026)
- Schweregrad (Microsoft)
- Hoch
- Auswirkung
- Rechteausweitung – Windows Broadcast DVR User Service
- Stand am Patch Tuesday
- Weder ausgenutzt noch öffentlich bekannt
- Einschätzung der Ausnutzbarkeit
- Ausnutzung weniger wahrscheinlich
- Produktfamilie
- Windows, Windows ESU (erweiterte Sicherheitsupdates)
- Updates (KB)
- KB5126651, KB5126657, KB5126653, KB5127648, KB5127646
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Microsoft Security Update Guide: CVE-2026-103565 msrc.microsoft.com
- VulDB: CVE-2026-103565 vuldb.com
- Vulners: CVE-2026-103565 (NVD) vulners.com
- Vulners: CVE-2026-103565 (CVE list) vulners.com
- Vulners: PT-2026-111959 vulners.com
- CVE Threat Intelligence: CVE-2026-103565 cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 04.11.2026 09:48.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.