Microsoft Windows Search Component: Use-after-free ermöglicht Rechteerweiterung

Zusammenfassung

Eine Use-after-free-Schwachstelle (CWE-416) in der Windows Search Component ermöglicht eine Rechteerweiterung auf betroffenen Windows-10-, Windows-11- und Windows-Server-Systemen. Laut NVD-Eintrag kann ein nicht autorisierter Angreifer dies über das Netzwerk ausnutzen, während das Review der Zero Day Initiative einen berechtigten lokalen Angreifer beschreibt; die Voraussetzungen für den Angriff sind daher nicht geklärt. Das Oktober-2026-Update von Microsoft behebt das Problem. Während der Recherche wurde keine öffentliche Ausnutzung gefunden.

Betroffen

• Windows 10 Version 1607 und Windows Server 2016: Builds unter 10.0.14393.9612
• Windows 10 Version 1809 und Windows Server 2019: Builds unter 10.0.17763.9376
• Windows 10 Version 21H2: Builds unter 10.0.19044.7807
• Windows 10 Version 22H2: Builds unter 10.0.19045.7807
• Windows 11 Version 23H2: Builds unter 10.0.22631.7652
• Windows 11 Version 24H2, 25H2 und 26H2: Builds unter 10.0.26100.9711, 10.0.26200.9711 und 10.0.26300.9711
• Windows 11 Version 26H1: Builds unter 10.0.28000.3231
• Windows Server 2012 R2: Builds unter 6.3.9600.23470
• Hinweis: Die Build-Grenzen einzelner Produkte sind vorläufig, da sich die Quellen widersprechen.

Behoben in

• Windows 10 Version 1607 / Windows Server 2016: KB5126868 (Build 10.0.14393.9612), gemäss Drittquelle, noch zu verifizieren
• Windows Server 2022: KB5126655 (Build 10.0.20348.5761), gemäss Drittquelle
• Andere Produkte: Unbekannt. Im MSRC Security Update Guide prüfen.

Umgehung

Unbekannt. Es wurde kein vom Hersteller dokumentierter Workaround gefunden. Update installieren.

Ausnutzung

• Es wurde kein öffentlicher Proof of Concept und keine Ausnutzung gefunden; dies ist kein bestätigter Ausschluss.
• Gemäss einer Drittquelle nicht im CISA-KEV-Katalog aufgeführt; im KEV-Katalog prüfen.
• EPSS 0.00893 (geringe Wahrscheinlichkeit einer Ausnutzung in den nächsten 30 Tagen), laut Vulners.
• CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung total.

Unsere Empfehlung

• Alle Windows-Geräte nach Build inventarisieren und betroffene Versionen identifizieren.
• Dateiserver und domänenverbundene Server mit Windows Search priorisieren.
• Das kumulative Oktober-2026-Update installieren und den Fix-Build auf jedem Gerät prüfen.
• SMB und RPC aus nicht vertrauenswürdigen Netzen sperren; diese Systeme nicht direkt ins Internet exponieren.
• Supportstatus und ESU-Berechtigung für Windows 10 1607 und Server 2012 R2 prüfen.
• MSRC und CISA KEV vor dem nächsten Patch Day am 10. November 2026 erneut prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-105010 msrc.microsoft.com
• Vulners NVD mirror: CVE-2026-105010 vulners.com
• threatint.com: CVE-2026-105010 cve.threatint.com
• Zero Day Initiative: October 2026 security update review www.zerodayinitiative.com
• Senserva: Patch Tuesday roundup senserva.com
• Strix.ai: CVE-2026-105010 www.strix.ai
• GitHub triage issue (KEV status, third-party) github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 18:54.