Microsoft Windows BITS: Lokale Rechteausweitung durch Heap-basierten Pufferüberlauf

Zusammenfassung

Ein Heap-basierter Pufferüberlauf im Windows Background Intelligent Transfer Service (BITS) erlaubt einem lokal berechtigten Angreifer, seine Rechte zu erweitern. Laut Microsoft kann ein erfolgreicher Angreifer SYSTEM-Rechte erlangen. Der Angreifer benötigt lokalen Zugriff und geringe Berechtigungen, und die Ausnutzung gilt als komplex, weshalb das Problem nicht direkt aus dem Internet erreichbar ist.

Betroffen

• Windows 10 Version 1607 (10.0.14393.0 bis vor 10.0.14393.9688)
• Windows 10 Version 1809 (10.0.17763.0 bis vor 10.0.17763.9487)
• Windows 10 Version 21H2 (10.0.19044.0 bis vor 10.0.19044.7846)
• Windows 10 Version 22H2 (10.0.19045.0 bis vor 10.0.19045.7846)
• Windows 11 Version 23H2 (10.0.22631.0 bis vor 10.0.22631.7711)
• Windows 11 Version 24H2 (10.0.26100.0 bis vor 10.0.26100.9974)
• Windows 11 Version 25H2 (10.0.26200.0 bis vor 10.0.26200.9974)
• Windows 11 Version 26H1 (10.0.28000.0 bis vor 10.0.28000.3501)
• Windows 11 Version 26H2 (10.0.26300.0 bis vor 10.0.26300.9974)
• Windows Server 2016 und Server-Core-Installation (10.0.14393.0 bis vor 10.0.14393.9688)
• Windows Server 2019 und Server-Core-Installation (10.0.17763.0 bis vor 10.0.17763.9487)
• Windows Server 2022 (10.0.20348.0 bis vor 10.0.20348.5870)

Behoben in

• Das Sicherheitsupdate von Microsoft vom November 2026 für die oben genannten Builds installieren.
• Genaue KB-Nummern: Unbekannt. Das MSRC-Advisory prüfen.

Umgehung

Unbekannt.

Ausnutzung

• Microsoft hat die Schwachstelle nicht als aktiv ausgenutzt markiert.
• Kein öffentlicher Proof of Concept gefunden.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.

Unsere Empfehlung

• Alle betroffenen Windows-10-, Windows-11- und Server-Systeme mit dem kumulativen Update vom November 2026 patchen, zuerst Mehrbenutzersysteme, Terminalserver und Fileserver.
• Genaue KB-Nummern je Produkt im MSRC-Advisory prüfen.
• Lokale Konten prüfen und nicht benötigte Anmelderechte einschränken.
• Auf unerwartete Prozesse mit SYSTEM-Rechten achten und NVD sowie CISA KEV auf Updates prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-105554 msrc.microsoft.com
• CVE Record: CVE-2026-105554 www.cve.org
• Rapid7: Patch Tuesday November 2026 www.rapid7.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 09:37.