Windows Management Instrumentation: Race Condition ermöglicht lokale Rechteerweiterung

Zusammenfassung

Eine Race Condition (CWE-362) und eine Use-after-free-Schwachstelle (CWE-416) in Windows Management Instrumentation (WMI) erlauben einem berechtigten lokalen Benutzer, höhere Rechte zu erlangen. Der Angreifer benötigt ein bestehendes Konto mit niedrigen Rechten auf dem System und muss eine zeitabhängige Bedingung ausnutzen (hohe Angriffskomplexität). Die Schwachstelle ist nicht aus dem Netzwerk ausnutzbar; das Risiko ist auf Mehrbenutzersystemen wie Terminal-Servern am höchsten.

Betroffen

• Windows 10 Version 1607 (Builds vor 10.0.14393.9688)
• Windows 10 Version 1809 (Builds vor 10.0.17763.9487)
• Windows 10 Version 21H2 (Builds vor 10.0.19044.7846)
• Windows 10 Version 22H2 (Builds vor 10.0.19045.7846)
• Windows 11 Version 23H2 (Builds vor 10.0.22631.7711)
• Windows 11 Version 24H2 (Builds vor 10.0.26100.9974)
• Windows 11 Version 25H2 (Builds vor 10.0.26200.9974)
• Windows 11 Version 26H1 (Builds vor 10.0.28000.3501)
• Windows 11 Version 26H2 (Builds vor 10.0.26300.9974)
• Windows Server 2016 inkl. Server Core (Builds vor 10.0.14393.9688)
• Windows Server 2019 inkl. Server Core (Builds vor 10.0.17763.9487)
• Windows Server 2022 (Builds vor 10.0.20348.5870)
• Windows Server 2025: nicht im CNA-Eintrag aufgeführt; auf MSRC prüfen

Behoben in

• Kumulative Updates vom November 2026 für die betroffenen Windows-Versionen (fixe Builds gemäss obiger Liste)
• Die KB-zu-CVE-Zuordnung im Abschnitt Security Updates von MSRC vor der Verteilung prüfen

Umgehung

Unbekannt.

• Es ist kein Workaround des Herstellers bekannt; das Patchen ist die einzige bestätigte Massnahme.

Ausnutzung

• Zum Zeitpunkt der Erstellung ist keine öffentliche Ausnutzung bekannt.
• CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
• NVD-Status: Awaiting Analysis.
• Nicht als Eintrag im CISA-KEV-Katalog verifiziert.

Unsere Empfehlung

• Alle Windows-10- und Windows-Server-Systeme inventarisieren und die noch verwendeten Builds identifizieren, insbesondere 1607, 1809 und 21H2.
• Die kumulativen Updates vom November 2026 auf betroffenen Systemen installieren, mit Priorität für Terminal-Server, RDS-Hosts und gemeinsam genutzte Arbeitsstationen.
• Lokale Anmeldungen einschränken und Standardkonten auf Mehrbenutzersystemen begrenzen.
• Bis zur Installation der Updates auf ungewöhnliche WMI-Aktivitäten und Rechteänderungen überwachen.
• WMI-Updates in den regulären Patch-Zyklen belassen, da 2026 mehrere WMI-Schwachstellen zur Rechteerweiterung veröffentlicht wurden.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide: CVE-2026-105546 msrc.microsoft.com
• CVE.org record CVE-2026-105546 www.cve.org
• Strix summary (third-party, unverified details) www.strix.ai
• Senserva KB 5131090 (update batch context) senserva.com
• Senserva KB 5132059 (update batch context) senserva.com
• Vulners MS:CVE-2026-88091 (related WMI CVE) vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 09:38.