Microsoft Windows CNG Key Isolation Service: Erhöhung von Berechtigungen

Zusammenfassung

Eine lokale Schwachstelle zur Erhöhung von Berechtigungen im Windows-Dienst Cryptography Next Generation (CNG) Key Isolation erlaubt eine fehlerhafte Speicherverarbeitung. Ein Angreifer, der bereits Code auf einem Windows-10-, Windows-11- oder Windows-Server-System ausführen kann, kann mit einer speziell präparierten Anwendung Prozesse in einem erhöhten Kontext ausführen. Der Angriff setzt lokalen Zugriff und einen bestehenden Ausgangspunkt voraus, das Risiko betrifft daher vor allem Mehrbenutzersysteme wie Terminal-, Datei- und gemeinsam genutzte Arbeitsstationen.

Betroffen

• Windows 10 Version 1607 (Builds vor 10.0.14393.9688)
• Windows 10 Version 1809 (Builds vor 10.0.17763.9487)
• Windows 10 Version 21H2 (Builds vor 10.0.19044.7846)
• Windows 10 Version 22H2 (Builds vor 10.0.19045.7846)
• Windows 11 Version 23H2 (Builds vor 10.0.22631.7711)
• Windows 11 Version 24H2 (Builds vor 10.0.26100.9974)
• Windows 11 Version 25H2 (Builds vor 10.0.26200.9974)
• Windows 11 Version 26H1 (Builds vor 10.0.28000.3501)
• Windows 11 Version 26H2 (Builds vor 10.0.26300.9974)
• Windows Server 2016, inklusive Server Core (Builds vor 10.0.14393.9688)
• Windows Server 2019, inklusive Server Core (Builds vor 10.0.17763.9487)
• Windows Server 2022 (Builds vor 10.0.20348.5870)

Behoben in

• Das Sicherheitsupdate vom November 2026 für die betroffene Windows-Version installieren. Der behobene Build ist jeweils der erste oben nicht betroffene Build.
• KB-Nummern pro Build: Die MSRC-Produkttabelle prüfen, da sie in den verwendeten Quellen nicht bestätigt sind.

Umgehung

• Unbekannt. Es wurde weder ein Workaround des Herstellers noch eines Drittanbieters gefunden. Das Einspielen von Patches ist die einzige dokumentierte Massnahme.

Ausnutzung

• Der CVE-Eintrag von Microsoft führt die Ausnutzbarkeit als nicht nachgewiesen. Die CISA-SSVC-Bewertung lautet Ausnutzung: keine und automatisierbar: nein.
• Es wurde kein öffentlicher Proof of Concept gefunden. Der Angriff muss lokal durchgeführt werden.
• Es wurden keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden. Das Exploited-Kennzeichen von MSRC und den CISA-KEV-Katalog prüfen.

Unsere Empfehlung

• Das kumulative Update vom November 2026 bei allen betroffenen Windows-10- und Windows-Server-Systemen im nächsten regulären Patch-Fenster einspielen. KB-Nummern pro Build auf MSRC bestätigen.
• Mehrbenutzersysteme, Terminal- und Dateiserver priorisieren.
• Vor dem Verlassen auf ältere Windows-10-Builds prüfen, ob sie noch Updates erhalten (erweiterter Support oder LTSC).
• CISA KEV und die Ausnutzbarkeitskennzeichen von MSRC überwachen und die Bewertung bei gemeldeter Ausnutzung anpassen.
• Hinweis: Die NVD-Analyse war noch ausstehend; der CVSS-Wert (7.0 laut CNA) und die CWE (CWE-415) können sich ändern. VulDB nennt 8.8 und CWE-269.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-103571 msrc.microsoft.com
• CVE Record CVE-2026-103571 (CVE.org) www.cve.org
• VulDB entry 434348 vuldb.com
• Strix CVE overview CVE-2026-103571 www.strix.ai
• FortiGuard endpoint vulnerability: Windows CNG Key Isolation Service EoP www.fortiguard.com
• Rapid7: CVE-2020-1359 (earlier issue in the same component) www.rapid7.com
• NVD: CVE-2023-28229 (earlier issue in the same component) nvd.nist.gov

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 09:48.