Windows 11: Use after free in Windows Autopilot ermöglicht lokale Rechteausweitung

Zusammenfassung

Eine Use-after-free-Schwachstelle (CWE-416) in der Komponente Windows Autopilot von Windows 11 erlaubt einem berechtigten lokalen Benutzer, seine Rechte zu erweitern. Ein Angreifer benötigt lokalen Zugriff mit niedrigen Rechten, etwa eine Standard-Benutzersitzung oder Malware im Benutzerkontext, und die Angriffskomplexität ist hoch. Eine erfolgreiche Ausnutzung kann zur vollständigen Kompromittierung von Vertraulichkeit, Integrität und Verfügbarkeit des betroffenen Endgeräts führen. In den Quellen wird keine aktive Ausnutzung in freier Wildbahn bestätigt.

Betroffen

• Windows 11 Version 24H2: 10.0.26100.0 bis vor 10.0.26100.9711
• Windows 11 Version 25H2: 10.0.26200.0 bis vor 10.0.26200.9711
• Windows 11 Version 26H2: 10.0.26300.0 bis vor 10.0.26300.9711

Behoben in

• Kumulatives Update KB5127648 (veröffentlicht am 13. Oktober 2026) liefert die Builds 10.0.26100.9711, 10.0.26200.9711 und 10.0.26300.9711
• Ob KB5127648 diese CVE ausdrücklich aufführt, konnte nicht unabhängig bestätigt werden; im MSRC-Eintrag prüfen
• Windows 11 24H2 Home und Pro haben das Ende des Supports am 13. Oktober 2026 erreicht; KB5127648 ist deren letztes Sicherheitsupdate
• Korrekturen für andere Versionszweige: Unbekannt.

Umgehung

Unbekannt. Es ist kein Workaround des Herstellers bekannt, da ein Patch verfügbar ist. Systeme, die nicht gepatcht werden können, sollten als gefährdet betrachtet werden.

Ausnutzung

• CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total
• Nicht in der CISA-KEV-Liste enthalten (gemäss Aggregator-Daten)
• Reifegrad der Ausnutzung: nicht nachgewiesen (E:U)
• EPSS etwa 0.25% (niedrig)
• Öffentlicher Proof of Concept: keiner gefunden; Abwesenheit nicht bestätigt

Unsere Empfehlung

• KB5127648 oder ein neueres kumulatives Update auf allen Geräten mit Windows 11 24H2, 25H2 und 26H2 im regulären monatlichen Zyklus installieren; Geräte mit unbekannten Benutzern oder Dateien priorisieren
• Migration von 24H2-Home- und Pro-Geräten auf 25H2 oder 26H2 planen, da diese keine Sicherheitsupdates mehr erhalten
• Update-Compliance-Berichte für Autopilot-registrierte Geräte prüfen
• Vor der Anpassung von Change-Dokumentationen den MSRC-Eintrag für die verbindlichen betroffenen und korrigierten Versionen prüfen
• Auf öffentlichen Exploit-Code und Aufnahme in die CISA-KEV-Liste achten

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-108134 msrc.microsoft.com
• Microsoft KB5127648 security update (Windows 11 24H2, 25H2, 26H2) support.microsoft.com
• Vulners CVELIST record CVE-2026-108134 vulners.com
• Threat-intel record CVE-2026-108134 cve.threatint.com
• Strix CVE record CVE-2026-108134 www.strix.ai
• Notebookcheck: KB5127648 and Windows 11 lifecycle www.notebookcheck.net

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 04.11.2026 09:45.