Microsoft Windows WMI: Schwache Authentifizierung erlaubt lokale Rechteausweitung

Zusammenfassung

Eine schwache Authentifizierung in der Windows Management Instrumentation (WMI) erlaubt es einem berechtigten lokalen Benutzer, seine Rechte zu erweitern. Laut Microsoft kann ein Angreifer bei erfolgreicher Ausnutzung unberechtigten Zugriff auf geschützte Windows-Verwaltungsnamespaces erhalten. Der Angreifer benötigt ein gültiges Konto mit niedrigen Rechten auf dem betroffenen Gerät, weshalb das Risiko vor allem als zweite Stufe nach einer Phishing-, Malware- oder Credential-Kompromittierung besteht.

Betroffen

• Windows 10 Version 1607, 1809, 21H2 und 22H2
• Windows 11 Version 23H2, 24H2, 25H2 und 26H2 sowie Version 26H1
• Windows Server 2016 (inkl. Server Core), 2019 (inkl. Server Core) und 2022
• Betroffen sind Builds unterhalb der im CVE-Eintrag genannten Buildnummern (zum Beispiel 10.0.19045.7846 für Windows 10 22H2 und 10.0.26100.9974 für Windows 11 24H2)
• Windows Server 2025 und weitere Builds: Unbekannt (nicht im offiziellen CVE-Eintrag; eine Drittquelle nennt es, nicht verifiziert)

Behoben in

• Behoben im Sicherheitsupdate vom November 2026 (Patch Tuesday, 10. November 2026)
• Behobene Builds gemäss CVE-Eintrag: 10.0.14393.9688 (Server 2016 / Windows 10 1607), 10.0.17763.9487 (Server 2019 / Windows 10 1809), 10.0.19044.7846 (21H2), 10.0.19045.7846 (22H2), 10.0.22631.7711 (23H2), 10.0.26100.9974 (24H2), 10.0.26200.9974 (25H2), 10.0.26300.9974 (26H2), 10.0.28000.3501 (26H1), 10.0.20348.5870 (Server 2022)
• KB-Nummern: Unbekannt. Die exakten behobenen Builds in der MSRC-Produkttabelle prüfen.

Umgehung

Unbekannt. Es wurde keine vom Hersteller dokumentierte Massnahme gefunden. Die Installation des Updates ist die Massnahme.

Ausnutzung

• Es wurden keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
• CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
• Tenable stuft die Ausnutzbarkeit laut Microsoft als 'Exploitation More Likely' ein. Das ist eine Prognose, kein bestätigter Angriff.
• Öffentlicher Proof of Concept: Unbekannt (keiner gefunden, Abwesenheit nicht bestätigt).
• Nicht im CISA-KEV-Katalog bestätigt (nicht verifiziert).

Unsere Empfehlung

• Das kumulative Sicherheitsupdate vom November 2026 auf allen betroffenen Windows-10-, Windows-11- und Serversystemen über Windows Update, WSUS oder Intune installieren.
• Server, Terminal-Server, RDP-Hosts und gemeinsam genutzte Mehrbenutzersysteme zuerst patchen.
• Die exakten behobenen Builds jedes Systems in der MSRC-Produkttabelle prüfen.
• Lokale Konten überprüfen und unnötige lokale Anmeldungen einschränken.
• Den Ausnutzungsstatus nach ein bis zwei Wochen erneut prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-105524 msrc.microsoft.com
• Microsoft Security Update Guide (en-US) msrc.microsoft.com
• CVE.org record CVE-2026-105524 www.cve.org
• Tenable: Microsoft November 2026 Patch Tuesday www.tenable.com
• Strix: CVE-2026-105524 (third-party, verify) www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 04:35.