Windows Server Update Service: Lokale Rechteerweiterung durch falsche Standardberechtigungen

Zusammenfassung

Falsche Standardberechtigungen im Windows Server Update Service (WSUS) erlauben einem berechtigten lokalen Angreifer, seine Rechte zu erweitern. Der Angreifer benötigt ein lokales Konto mit niedrigen Privilegien auf dem WSUS-Server; die Ausnutzung erfordert zusätzlich einen Benutzerinteraktionsschritt und wird mit hoher Komplexität bewertet. Der CVSS-3.1-Score beträgt 7.5 (Hoch), mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit sowie einer Scope-Änderung.

Betroffen

• Windows Server 2012 (inkl. Server Core): 6.2.9200.0 bis vor 6.2.9200.26434
• Windows Server 2012 R2 (inkl. Server Core): 6.3.9600.0 bis vor 6.3.9600.23470
• Windows Server 2016 (inkl. Server Core): 10.0.14393.0 bis vor 10.0.14393.9612
• Windows Server 2019 (inkl. Server Core): 10.0.17763.0 bis vor 10.0.17763.9376
• Windows Server 2022: 10.0.20348.0 bis vor 10.0.20348.5761
• Windows Server 2025 (inkl. Server Core): 10.0.26100.0 bis vor 10.0.26100.33650

Behoben in

• Server 2016: KB5126868 (OS Build 14393.9612)
• Server 2022: KB5126655 (OS Build 20348.5761)
• Server 2025: KB5126646 (OS Build 26100.33650)
• Server 2012, 2012 R2 und 2019: Fixed-Builds gemäss CNA-Eintrag; die KB-Nummern sind in den Quellen nicht bestätigt, bitte auf der MSRC-Seite prüfen

Umgehung

• Keine Workaround-Massnahme dokumentiert. Unbekannt.

Ausnutzung

• Keine bestätigte Ausnutzung in freier Wildbahn gefunden.
• Kein öffentlicher Proof of Concept gefunden.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• EPSS etwa 0.003 (niedrige prognostizierte Ausnutzungswahrscheinlichkeit).

Unsere Empfehlung

• WSUS-Server mit den oben genannten Fixed-Builds patchen, zuerst Server-2012-Hosts, da diese nicht mehr im Mainstream-Support sind.
• Bis zum Patch die lokale Anmeldung auf WSUS-Servern auf Administratoren beschränken und Berechtigungen auf WSUS-Verzeichnissen und -Diensten überprüfen.
• Prüfen, ob WSUS im Einsatz ist und welche Windows-Server-Version darauf läuft.
• Unerwartete lokale Anmeldungen und Rechteänderungen auf WSUS-Servern überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Response Center advisory CVE-2026-105009 msrc.microsoft.com
• vulners NVD record CVE-2026-105009 vulners.com
• vulners CVE List record CVE-2026-105009 vulners.com
• Microsoft 2026 CVE customer-risk cohort document cdn-dynmedia-1.microsoft.com
• VulDB entry 418067 vuldb.com
• threatint CVE-2026-105009 cve.threatint.com
• vulners EUVD-2026-100398 (KB listings) vulners.com
• strix.ai CVE-2026-105009 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 19:37.