Microsoft Windows: Lokale Rechteerweiterung im Volume Shadow Copy Service

Zusammenfassung

Eine Race Condition im Windows Volume Shadow Copy Service (VSS) erlaubt einem berechtigten lokalen Angreifer, seine Rechte zu erweitern. Laut Microsoft könnte ein erfolgreicher Angreifer SYSTEM-Rechte erlangen. Der Angreifer benötigt bereits ein lokales Konto mit niedrigen Rechten und muss eine Race Condition gewinnen, daher ist der Angriff nicht trivial.

Betroffen

• Windows 10 Version 1607 (Builds vor 10.0.14393.9688)
• Windows 10 Version 1809 (Builds vor 10.0.17763.9487)
• Windows 10 Version 21H2 (Builds vor 10.0.19044.7846)
• Windows 10 Version 22H2 (Builds vor 10.0.19045.7846)
• Windows 11 Version 23H2 (Builds vor 10.0.22631.7711)
• Windows 11 Version 24H2 (Builds vor 10.0.26100.9974)
• Windows 11 Version 25H2 (Builds vor 10.0.26200.9974)
• Windows 11 Version 26H1 (Builds vor 10.0.28000.3501)
• Windows 11 Version 26H2 (Builds vor 10.0.26300.9974)
• Windows Server 2016 inkl. Server Core (Builds vor 10.0.14393.9688)
• Windows Server 2019 inkl. Server Core (Builds vor 10.0.17763.9487)
• Windows Server 2022 (Builds vor 10.0.20348.5870)

Behoben in

• Windows 10 1607: 10.0.14393.9688
• Windows 10 1809: 10.0.17763.9487
• Windows 10 21H2: 10.0.19044.7846
• Andere Produkte: Die korrigierten Builds stehen im Microsoft-Advisory; vor der Verteilung dort überprüfen. Drittanbieter-Angaben zu anderen Builds sind nicht bestätigt.

Umgehung

Unbekannt.

Ausnutzung

• Microsoft markiert die Schwachstelle als nicht aktiv ausgenutzt.
• Microsoft stuft die Reife des Exploit-Codes als Unproven ein; es wurde kein öffentlicher Proof of Concept gefunden.
• CVSS-3.1-Basiswert 7.0 (AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H).

Unsere Empfehlung

• Das kumulative Update vom November 2026 auf allen betroffenen Windows-10-, Windows-11- und Windows-Server-Systemen installieren. Die genaue KB pro Build im Microsoft Security Update Guide bestätigen.
• Mehrbenutzersysteme wie Terminal-, RDP- und Dateiserver priorisieren.
• Bis zur Korrektur die lokale und die Remote-Desktop-Anmeldung auf die nötigen Benutzer beschränken, nicht benötigte lokale Konten entfernen und auf ungewöhnliche VSS-Dienstaktivität achten.
• Als reguläres Patch-Thema behandeln und nicht als Notfall, solange keine Ausnutzung bekannt wird.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide (CVE-2026-105017) msrc.microsoft.com
• CVE Record CVE-2026-105017 www.cve.org
• Rapid7 Patch Tuesday November 2026 www.rapid7.com
• Strix CVE-2026-105017 (third party) www.strix.ai
• KB5131090 (third party) senserva.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 09:51.