Windows Network Connection Broker: Use-after-free führt zu lokaler Rechteerweiterung

Zusammenfassung

Eine Use-after-free-Schwachstelle (CWE-416) in der Windows-Komponente Network Connection Broker erlaubt einem berechtigten lokalen Benutzer, seine Rechte zu erweitern. Der Angreifer benötigt eine Anmeldung mit niedrigen Berechtigungen auf dem betroffenen System, und die Angriffskomplexität ist hoch. Der CVSS-3.1-Basiswert beträgt 7.0 (High); eine Ausnutzung über das Netzwerk ist nicht möglich.

Betroffen

Gemäss dem offiziellen CVE-Eintrag (Drittquellen nennen abweichende Bereiche, daher bei MSRC prüfen):

• Windows 10 Version 1607 und Windows Server 2016 (inklusive Server Core): 10.0.14393.0 bis vor 10.0.14393.9688
• Windows 10 Version 1809 und Windows Server 2019 (inklusive Server Core): 10.0.17763.0 bis vor 10.0.17763.9487
• Windows 10 Version 21H2: 10.0.19044.0 bis vor 10.0.19044.7846
• Windows 10 Version 22H2: 10.0.19045.0 bis vor 10.0.19045.7846
• Windows 11 Version 23H2: 10.0.22631.0 bis vor 10.0.22631.7711
• Windows 11 Version 24H2: 10.0.26100.0 bis vor 10.0.26100.9974
• Windows 11 Version 25H2 und 26H2: 10.0.26200.0 bis vor 10.0.26200.9974 (25H2) und 10.0.26300.0 bis vor 10.0.26300.9974 (26H2)
• Windows 11 Version 26H1: 10.0.28000.0 bis vor 10.0.28000.3501
• Windows Server 2022: 10.0.20348.0 bis vor 10.0.20348.5870

Behoben in

Das Sicherheitsupdate von Microsoft vom November 2026 installieren. Korrigierte Builds gemäss offiziellem CVE-Eintrag:

• 10.0.14393.9688 (Windows 10 1607, Server 2016)
• 10.0.17763.9487 (Windows 10 1809, Server 2019)
• 10.0.19044.7846 (Windows 10 21H2)
• 10.0.19045.7846 (Windows 10 22H2)
• 10.0.22631.7711 (Windows 11 23H2)
• 10.0.26100.9974 (Windows 11 24H2)
• 10.0.26200.9974 (Windows 11 25H2)
• 10.0.26300.9974 (Windows 11 26H2)
• 10.0.28000.3501 (Windows 11 26H1)
• 10.0.20348.5870 (Windows Server 2022)

Knowledge-Base-Artikelnummern: Unbekannt.

Umgehung

Unbekannt. Es ist keine Herstellerlösung bekannt; das Einspielen des Patches ist die Massnahme.

Ausnutzung

• Microsoft meldet in den geprüften Quellen keinen öffentlich verfügbaren Exploit-Code und keine bekannte Ausnutzung.
• CISA SSVC: Ausnutzung keine, automatisierbar nein.
• Nicht gegen den CISA-KEV-Katalog geprüft; KEV und MSRC erneut prüfen.

Unsere Empfehlung

• Das kumulative Sicherheitsupdate vom November 2026 auf allen betroffenen Systemen installieren, mit Priorität auf Mehrbenutzersystemen wie Remote-Desktop- und Terminalservern, gemeinsam genutzten Arbeitsstationen und Dateiservern.
• Die genaue korrigierte Build-Version jedes Produkts im MSRC-Advisory bestätigen, da die Quellen voneinander abweichen.
• Lokale Anmeldungen auf vertrauenswürdige Benutzer beschränken und auf verdächtige lokale Konten oder Schadsoftware prüfen.
• Den CISA-KEV-Katalog und den NVD-Eintrag erneut prüfen, der derzeit noch in der Analyse ist.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Response Center: CVE-2026-108406 msrc.microsoft.com
• CVE Record CVE-2026-108406 (CVE.org) www.cve.org
• Strix: CVE-2026-108406 (third-party, unverified ranges) www.strix.ai
• Patch Tuesday November 2026 coverage (Action1) www.action1.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 09:31.