Windows MDM: TOCTOU-Race-Condition ermöglicht lokale Rechteerweiterung

Zusammenfassung

Eine Time-of-Check-Time-of-Use-Race-Condition (TOCTOU) in der Windows-Komponente Modern Device Management (MDM) erlaubt einem berechtigten lokalen Benutzer, seine Rechte zu erweitern. Betroffen sind unterstützte Windows-10-, Windows-11- und Windows-Server-Versionen, einschliesslich Windows 10 Version 1809 und Windows Server 2019. Ein Angreifer benötigt ein lokales Benutzerkonto mit niedrigen Rechten und muss ein Timing-Rennen gewinnen, was eine zuverlässige Ausnutzung erschwert. Bei einem erfolgreichen Angriff wären Vertraulichkeit, Integrität und Verfügbarkeit des Systems vollständig gefährdet.

Betroffen

• Windows 10 Version 1809 und Windows Server 2019 (inklusive Server Core): Builds vor 10.0.17763.9376
• Windows 10 Version 21H2: Builds vor 10.0.19044.7807
• Windows 10 Version 22H2: Builds vor 10.0.19045.7807
• Windows 11 Version 23H2: Builds vor 10.0.22631.7652
• Windows 11 Version 24H2: Builds vor 10.0.26100.9711
• Windows 11 Version 25H2: Builds vor 10.0.26200.9711
• Windows 11 Version 26H1: Builds vor 10.0.28000.3231
• Windows 11 Version 26H2: Builds vor 10.0.26300.9711
• Windows Server 2022: Builds vor 10.0.20348.5761
• Windows Server 2025 (inklusive Server Core): Builds vor 10.0.26100.33650

Behoben in

• Behoben durch die Sicherheitsupdates von Microsoft vom Oktober 2026 für die oben aufgeführten Builds.
• Windows 10 1809 / Server 2019: Build 17763.9376 (gemäss Angaben als KB5126651, noch nicht gegen das MSRC-Advisory verifiziert).
• Die genauen KB-Nummern für jeden Build vor dem Rollout im MSRC-Advisory prüfen.

Umgehung

Unbekannt. In den Quellen wurde keine von Microsoft empfohlene Zwischenlösung gefunden.

Ausnutzung

• Gemäss Angaben nicht bekanntermassen in freier Wildbahn ausgenutzt; CISA SSVC stuft die Ausnutzung als keine und die Automatisierbarkeit als nein ein.
• Es wurde kein öffentlicher Proof of Concept gefunden.
• Zum Zeitpunkt der Recherche nicht im CISA-KEV-Katalog aufgeführt.

Unsere Empfehlung

• Das kumulative Sicherheitsupdate vom Oktober 2026 auf allen betroffenen Windows- und Server-Systemen installieren, zuerst auf Windows-10-1809- und Server-2019-Hosts.
• MDM-registrierte Geräte, gemeinsam genutzte PCs und Terminalserver priorisieren, auf denen Standardbenutzer Code ausführen können.
• Prüfen, ob Windows-10-1809-Hosts (LTSC/IoT) noch im Einsatz sind, und deren Supportstatus auf den Lifecycle-Seiten von Microsoft verifizieren.
• Auf einen öffentlichen Proof of Concept oder einen KEV-Eintrag achten und die Bewertung bei dessen Auftauchen neu vornehmen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-108396 msrc.microsoft.com
• Vulners CVE list entry (Microsoft CNA data) vulners.com
• Vulners NVD entry vulners.com
• Strix CVE entry www.strix.ai
• Vulners PT-2026-112016 (KB5126651 mapping) vulners.com
• GCVE CWE-367 listing db.gcve.eu
• Vulners EUVD-2026-100327 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 04.11.2026 09:43.