Windows Broadcast DVR User Service: Use-after-free mit Rechteausweitung

Zusammenfassung

Eine Use-after-free-Schwachstelle (CWE-416) im Windows Broadcast DVR User Service erlaubt einem berechtigten lokalen Angreifer, seine Rechte zu erweitern. Der Angreifer benötigt ein gültiges Konto mit niedrigen Rechten auf dem System und muss lokal Code ausführen können, wobei die Angriffskomplexität hoch ist. Das CISA-SSVC-Assessment bewertet die technische Auswirkung als total, die Ausnutzung jedoch als keine und die Schwachstelle als nicht automatisierbar.

Betroffen

• Windows 10 Version 1809 und Windows Server 2019 (inklusive Server-Core-Installation): Builds vor 10.0.17763.9376\n- Windows 10 Version 21H2: Builds vor 10.0.19044.7807\n- Windows 10 Version 22H2: Builds vor 10.0.19045.7807\n- Windows 11 Version 23H2: Builds vor 10.0.22631.7652\n- Windows 11 Version 24H2: Builds vor 10.0.26100.9711\n- Windows 11 Version 25H2: Builds vor 10.0.26200.9711\n- Windows 11 Version 26H1: Builds vor 10.0.28000.3231\n- Windows 11 Version 26H2: Builds vor 10.0.26300.9711

Behoben in

• Windows 10 1809 / Server 2019: 10.0.17763.9376 (KB5126651, nicht verifiziert)\n- Windows 10 21H2: 10.0.19044.7807 (KB5126657, nicht verifiziert)\n- Windows 10 22H2: 10.0.19045.7807 (KB5126657, nicht verifiziert)\n- Windows 11 23H2: 10.0.22631.7652 (KB5126653, nicht verifiziert)\n- Windows 11 24H2 / 25H2 / 26H2: 10.0.26100.9711 / 10.0.26200.9711 / 10.0.26300.9711 (KB5127648 und KB5127646, nicht verifiziert)\n- Windows 11 26H1: 10.0.28000.3231\nDie Korrektur ist das kumulative Sicherheitsupdate vom Oktober 2026 für jeden Build. Die KB-Nummern stammen von Drittanbieter-Spiegeln und müssen im MSRC oder im Microsoft Update Catalog bestätigt werden.

Umgehung

Unbekannt. Es wurde kein vom Hersteller dokumentierter Workaround gefunden. Bis zur Installation des Patches sollten lokale Anmeldungen auf gemeinsam genutzten Systemen und Mehrbenutzersystemen wie Terminalservern und Kiosksystemen eingeschränkt und das Least-Privilege-Prinzip durchgesetzt werden.

Ausnutzung

• CISA SSVC: Ausnutzung keine, nicht automatisierbar, technische Auswirkung total\n- Keine Berichte über Ausnutzung in freier Wildbahn gefunden\n- Kein öffentlicher Proof of Concept gefunden\n- EPSS ist niedrig (etwa 0.0025 bis 0.0028)

Unsere Empfehlung

• Das kumulative Sicherheitsupdate vom Oktober 2026 im normalen Patch-Zyklus auf allen betroffenen Windows-10- und Windows-11-Systemen sowie Windows-Server-2019-Hosts installieren, mit Priorität auf Mehrbenutzersystemen und Servern\n- Den Supportstatus von Windows-10-1809- und Server-2019-Systemen prüfen und bei Support-Ende Upgrades planen\n- Lokale Anmeldungen einschränken und das Least-Privilege-Prinzip auf gemeinsam genutzten PCs und Terminalservern anwenden, bis der Patch installiert ist

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide (CVE-2026-108461) msrc.microsoft.com
• MSRC Security Update Guide (en-US) msrc.microsoft.com
• NVD mirror (Vulners) vulners.com
• CNA version data (Vulners) vulners.com
• Microsoft CVE listing (Vulners) vulners.com
• PT-2026-112023 (Vulners) vulners.com
• Strix CVE page www.strix.ai
• EUVD-2026-99082 (Vulners) vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 04.11.2026 09:43.