Windows Telephony Service: Rechteerweiterung durch Use-after-free-Fehler

Zusammenfassung

Ein Use-after-free-Fehler (CWE-416) im Windows Telephony Service erlaubt einem lokalen Angreifer mit niedrigen Berechtigungen, seine Rechte zu erweitern, potenziell bis zu SYSTEM. Für die Ausnutzung sind lokaler Zugriff, hohe Angriffskomplexität und keine Benutzerinteraktion nötig. Die Schwachstelle ist nicht direkt aus dem Internet erreichbar, sie ist jedoch auf gemeinsam genutzten oder Mehrbenutzersystemen relevant, auf denen Benutzer lokal angemeldet sind.

Betroffen

• Windows 10 Version 1607, 1809, 21H2, 22H2
• Windows 11 Version 23H2, 24H2, 25H2, 26H1, 26H2
• Windows Server 2016, 2019, 2022 (inklusive Server-Core-Installationen)
• Die betroffenen Build-Bereiche sind im CVE-Eintrag (CNA: Microsoft) aufgeführt. Die genauen Builds je Produkt müssen auf MSRC geprüft werden.

Behoben in

• Behoben in den kumulativen Updates von Microsoft, veröffentlicht am 10. November 2026. Die ersten behobenen Builds sind im CVE-Eintrag als obere Grenze des jeweiligen betroffenen Bereichs angegeben, zum Beispiel 10.0.14393.9688 für Windows 10 1607 und Windows Server 2016 sowie 10.0.17763.9487 für Windows 10 1809 und Windows Server 2019.
• KB-Artikelnummern: Unbekannt. Prüfen Sie das MSRC Security Update Guide für jedes Produkt.

Umgehung

Unbekannt. In den Quellen wurde keine Workaround-Massnahme gefunden. Das Einspielen von Patches ist die primäre Massnahme.

Ausnutzung

• Microsoft stuft die Schwachstelle zum Zeitpunkt der Veröffentlichung als nicht ausgenutzt ein.
• Die CVSS-Reife des Exploit-Codes ist 'unproven' (E:U).
• Zum Zeitpunkt der Erstellung wurde kein öffentlicher Proof-of-Concept-Exploit gefunden.
• CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.

Unsere Empfehlung

• Inventarisieren Sie alle Windows-10-, Windows-11- und Windows-Server-Systeme und vergleichen Sie deren Build-Nummern mit der MSRC-Seite.
• Installieren Sie das kumulative Update vom November 2026 auf Arbeitsstationen und Servern im nächsten regulären Patch-Tuesday-Zyklus. Priorisieren Sie Mehrbenutzerserver, RDS-/Terminalserver und gemeinsam genutzte PCs.
• Beschränken Sie die lokale Anmeldung auf gemeinsam genutzten Systemen, wo möglich.
• Prüfen Sie, ob der Telephony Service auf jedem Host läuft, da dies die Exposition bestimmt.
• Verfolgen Sie MSRC und den CISA-KEV-Katalog auf Änderungen, da der CVE kürzlich veröffentlicht wurde.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-108413 msrc.microsoft.com
• CVE Record: CVE-2026-108413 www.cve.org
• Strix CVE tracker: CVE-2026-108413 (third-party, version list unverified) www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 09:28.