Windows: Lokale Rechteerweiterung durch Use-after-free im Kernel

Zusammenfassung

Eine Use-after-free-Schwachstelle (CWE-416) im Windows-Kernel erlaubt einem lokal berechtigten Benutzer, seine Rechte zu erweitern. Ein Angreifer benötigt zuerst eine Codeausführung oder eine lokale Anmeldung, zum Beispiel über eine Phishing-Nutzlast oder ein kompromittiertes Konto, und kann danach SYSTEM-Rechte und die volle Kontrolle über das Gerät erlangen. Microsoft bewertet den CVSS-3.1-Wert mit 7.8 (hoch), und die Analyse durch NVD war zum Zeitpunkt der Veröffentlichung noch ausstehend. Eine Ausnutzung in freier Wildbahn ist nicht bekannt.

Betroffen

• Windows 10 Version 1607 (Builds 10.0.14393.0 vor 10.0.14393.9688)
• Windows 10 Version 1809 (Builds 10.0.17763.0 vor 10.0.17763.9487)
• Windows 10 Version 21H2 (Builds 10.0.19044.0 vor 10.0.19044.7846)
• Windows 10 Version 22H2 (Builds 10.0.19045.0 vor 10.0.19045.7846; nur von einem Drittanbieter-Tracker aufgeführt, unbestätigt)
• Windows 11 Version 23H2 (Builds 10.0.22631.0 vor 10.0.22631.7711)
• Windows 11 Version 24H2, 25H2, 26H1 und 26H2 (Builds im CVE-Eintrag aufgeführt; nicht gegen MSRC verifiziert)
• Windows Server 2016, inklusive Server Core (Builds 10.0.14393.0 vor 10.0.14393.9688)
• Windows Server 2019, inklusive Server Core (Builds 10.0.17763.0 vor 10.0.17763.9487)
• Windows Server 2022 (Builds 10.0.20348.0 vor 10.0.20348.5870)
• Windows Server 2025: unbestätigt, nur von einem Drittanbieter-Tracker gemeldet

Behoben in

• Sicherheitsupdate vom November 2026 (kumulatives Update) für die oben aufgeführten Builds, gemäss CVE-Eintrag
• Genaue korrigierte Builds je Produkt: vor dem Rollout auf dem MSRC Security Update Guide prüfen

Umgehung

Unbekannt. Es wurde keine dokumentierte Workaround-Massnahme gefunden. Das Sicherheitsupdate ist die einzige bekannte Abhilfe.

Ausnutzung

• Keine Ausnutzung in freier Wildbahn gefunden.
• Ein Drittanbieter-Tracker führt die CVE als nicht ausgenutzt. Der Status im CISA-KEV-Katalog ist nicht bestätigt.
• CISA-SSVC-Bewertung: Exploitation none, Automatable no, Technical Impact total.
• Der CVE-Eintrag verwendet die temporale Metrik E:U (Reifegrad des Exploit-Codes: Unproven).
• Kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Die betroffenen Produkte und korrigierten Build-Nummern auf dem MSRC Security Update Guide prüfen.
• Das kumulative Update vom November 2026 auf allen betroffenen Windows-Systemen installieren, zuerst auf Servern, Terminal-Servern und gemeinsam genutzten Endgeräten.
• Jedes Gerät auf fehlende Updates prüfen und Installationsfehler nachverfolgen.
• Den Supportstatus von Windows-10-Systemen mit älteren Builds (1607, 1809, 21H2) prüfen und Upgrades oder erweiterte Sicherheitsupdates planen.
• MSRC, NVD und CISA KEV auf Änderungen des Ausnutzungsstatus überprüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-108403 msrc.microsoft.com
• CVE Record CVE-2026-108403 (Microsoft CNA) www.cve.org
• Strix AI: CVE-2026-108403 (third-party, unverified versions) www.strix.ai
• Senserva: exploitation status tracker (third-party) senserva.com
• Senserva: November 2026 update tracker (third-party, unverified) senserva.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 04:27.