Microsoft Windows: Use-after-free in Winlogon erlaubt lokale Rechteausweitung

Zusammenfassung

Eine Use-after-free-Schwachstelle (CWE-416) in der Windows-Komponente Winlogon erlaubt einem berechtigten lokalen Benutzer, seine Rechte zu erweitern. Der Angriff setzt lokalen Zugriff mit niedrigen Berechtigungen und hoher Komplexität voraus und ist nicht aus dem Netzwerk erreichbar. Ein erfolgreicher Angreifer kann die Kontrolle auf SYSTEM-Ebene erlangen, weshalb gemeinsam genutzte Hosts und Mehrbenutzersysteme am stärksten gefährdet sind.

Betroffen

• Windows 10 Version 1809 (10.0.17763.0 bis vor 10.0.17763.9487)
• Windows 10 Version 21H2 (10.0.19044.0 bis vor 10.0.19044.7846)
• Windows 10 Version 22H2 (10.0.19045.0 bis vor 10.0.19045.7846)
• Windows 11 Version 23H2 (10.0.22631.0 bis vor 10.0.22631.7711)
• Windows 11 Version 24H2 (10.0.26100.0 bis vor 10.0.26100.9974)
• Windows 11 Version 25H2 (10.0.26200.0 bis vor 10.0.26200.9974)
• Windows 11 Version 26H1 (10.0.28000.0 bis vor 10.0.28000.3501)
• Windows 11 Version 26H2 (10.0.26300.0 bis vor 10.0.26300.9974)
• Windows Server 2019 und Server-Core-Installation (10.0.17763.0 bis vor 10.0.17763.9487)
• Windows Server 2022 (10.0.20348.0 bis vor 10.0.20348.5870)
• Windows Server 2025 und Server-Core-Installation (10.0.26100.0 bis vor 10.0.26100.33822)

Behoben in

• Installieren Sie das Microsoft-Sicherheitsupdate vom 10. November 2026 für Ihre Windows-Version.
• Korrigierte Builds gemäss CVE-Eintrag: 10.0.17763.9487 (1809, Server 2019), 10.0.19044.7846 (21H2), 10.0.19045.7846 (22H2), 10.0.22631.7711 (23H2), 10.0.26100.9974 (24H2), 10.0.26200.9974 (25H2), 10.0.28000.3501 (26H1), 10.0.26300.9974 (26H2), 10.0.20348.5870 (Server 2022), 10.0.26100.33822 (Server 2025).
• KB-Nummer: Unbekannt.

Umgehung

• Unbekannt. Es wurde keine Herstellerumgehung identifiziert; wenden Sie das Update an.

Ausnutzung

• Microsoft führt die Schwachstelle als nicht ausgenutzt und nicht öffentlich bekannt.
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
• Bei der Recherche zum Zeitpunkt der Erstellung wurde kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Installieren Sie das Windows-Sicherheitsupdate vom November 2026 auf allen betroffenen Arbeitsstationen und Servern, zuerst auf Terminalservern, RDS-Hosts und Mehrbenutzer-PCs.
• Prüfen Sie die installierte Version mit winver oder der Update-Historie und vergleichen Sie den Build mit der MSRC-Seite.
• Prüfen Sie die Lifecycle-Seiten von Microsoft für ältere Builds (1809, 21H2, 22H2) und planen Sie Upgrades oder ESU-Registrierungen.
• Beschränken Sie die interaktive Anmeldung auf gemeinsam genutzte Hosts und entfernen Sie unnötige lokale Administratorrechte, um die Auswirkungen einer lokalen Rechteausweitung zu reduzieren.
• Überwachen Sie Endpunkte auf ungewöhnliche Rechteänderungen und neue SYSTEM-Prozesse.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide: CVE-2026-105522 msrc.microsoft.com
• CVE.org Record: CVE-2026-105522 www.cve.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 09:43.