Microsoft Input Method Editor (IME): Lokale Rechteerweiterung durch Path Traversal

Zusammenfassung

Der Windows Input Method Editor (IME) enthält eine relative Path-Traversal-Schwachstelle (CWE-23), die einem berechtigten Angreifer eine Rechteerweiterung auf dem lokalen System erlaubt. Der Angreifer benötigt ein gültiges Konto mit niedrigen Rechten auf dem betroffenen Gerät. Eine erfolgreiche Ausnutzung kann zu einer hohen Beeinträchtigung der Vertraulichkeit, Integrität und Verfügbarkeit dieses Systems führen. Eine Ausnutzung in freier Wildbahn und ein öffentlicher Proof of Concept sind nicht bekannt.

Betroffen

• Windows 10 Version 1607 (Builds vor 10.0.14393.9688)
• Windows 10 Version 1809 (Builds vor 10.0.17763.9487)
• Windows 10 Version 21H2 (Builds vor 10.0.19044.7846)
• Windows 10 Version 22H2 (Builds vor 10.0.19045.7846)
• Windows 11 Version 23H2 (Builds vor 10.0.22631.7711)
• Windows 11 Version 24H2 (Builds vor 10.0.26100.9974)
• Windows 11 Version 25H2 (Builds vor 10.0.26200.9974)
• Windows 11 Version 26H1 (Builds vor 10.0.28000.3501)
• Windows 11 Version 26H2 (Builds vor 10.0.26300.9974)
• Windows Server 2016, inklusive Server Core (Builds vor 10.0.14393.9688)
• Windows Server 2019, inklusive Server Core (Builds vor 10.0.17763.9487)
• Windows Server 2022 (Builds vor 10.0.20348.5870)
• Windows Server 2025: nicht im CNA-Eintrag aufgeführt; unverifiziert

Behoben in

• Behoben in den kumulativen Updates vom November 2026 pro Build gemäss Microsoft (KB pro Build auf dem MSRC verifizieren).
• Windows 10 21H2: 10.0.19044.7846 oder neuer
• Windows 10 22H2: 10.0.19045.7846 oder neuer
• Windows 11 24H2: 10.0.26100.9974 oder neuer
• Windows Server 2022: 10.0.20348.5870 oder neuer
• Windows Server 2025: unverifiziert, Quellen widersprechen sich

Umgehung

Unbekannt.

Ausnutzung

• Keine Ausnutzung in freier Wildbahn bekannt.
• Kein öffentlicher Proof of Concept bekannt.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.

Unsere Empfehlung

• Das kumulative Update vom November 2026 auf allen betroffenen Windows-Systemen installieren.
• Supportstatus der Windows-10-Systeme 1607 und 1809 prüfen und diese bei fehlendem Support ersetzen oder upgraden.
• Gemeinsam genutzte Arbeitsstationen, Remote-Desktop- und Terminalserver sowie Mehrbenutzersysteme priorisieren.
• Die korrekte KB pro Build im MSRC Security Update Guide verifizieren.
• Lokale Konten einschränken und prüfen, wer über lokale Konten verfügt.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-105505 msrc.microsoft.com
• CVE Record CVE-2026-105505 (CVE Program) www.cve.org
• Strix: CVE-2026-105505 www.strix.ai
• Senserva: KB5131096 (Windows 10 21H2, unofficial mapping) senserva.com
• Senserva: KB5132061 (Windows 11 24H2, unofficial mapping) senserva.com
• Rapid7: Patch Tuesday November 2026 www.rapid7.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 04:37.