Microsoft Windows SmartScreen: Umgehung einer Sicherheitsfunktion durch Pfadäquivalenz
Zusammenfassung
Windows SmartScreen, die Windows-Funktion, die Phishing-Seiten und nicht vertrauenswürdige Downloads blockiert, enthält eine fehlerhafte Auflösung von Pfadäquivalenz (CWE-41). Ein entfernter, nicht authentifizierter Angreifer kann diese Sicherheitsfunktion über das Netzwerk umgehen, wobei eine Benutzerinteraktion erforderlich ist, etwa das Öffnen einer präparierten Datei oder eines präparierten Links. Der CVSS-Vektor bewertet die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit als hoch.
Betroffen
- Windows 11 Version 24H2: 10.0.26100.0 bis vor 10.0.26100.9711
- Windows 11 Version 25H2: 10.0.26200.0 bis vor 10.0.26200.9711
- Windows 11 Version 26H1: 10.0.28000.0 bis vor 10.0.28000.3231
- Windows 11 Version 26H2: 10.0.26300.0 bis vor 10.0.26300.9711
- Die CPE-Daten der NVD listen nur 24H2. Windows 10: keine Einträge gefunden.
Behoben in
- Windows 11 24H2: Build 10.0.26100.9711 (KB5127648, nicht verifiziert)
- Windows 11 25H2: Build 10.0.26200.9711 (KB5127648, nicht verifiziert)
- Windows 11 26H1: Build 10.0.28000.3231 (KB5127646, nicht verifiziert)
- Windows 11 26H2: Build 10.0.26300.9711 (KB5127648, nicht verifiziert)
- KB-Nummern und Veröffentlichungsdatum im MSRC Security Update Guide prüfen, da die Quellen beim Datum (13. oder 14. Oktober 2026) voneinander abweichen.
Umgehung
Unbekannt. Es wurde keine vom Hersteller veröffentlichte Massnahme gefunden. FAQ und Abschnitt zu Massnahmen im MSRC prüfen.
Ausnutzung
- Es wurden keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
- Es wurde kein öffentlicher Proof of Concept gefunden.
- CISA-SSVC-Bewertung: Exploitation none, Automatable no, Technical Impact total.
- Der EPSS-Wert liegt bei etwa 0.88 %.
- Der CISA-KEV-Katalog sollte direkt geprüft werden.
Unsere Empfehlung
- Das Sicherheitsupdate vom Oktober 2026 im Rahmen der üblichen Patch-Tuesday-Verteilung auf allen betroffenen Windows-11-Systemen installieren.
- Auf den Endgeräten prüfen, ob der korrigierte Build gemeldet wird.
- SmartScreen aktiviert lassen und E-Mail- sowie Web-Downloads filtern.
- Betroffene Versionen und KB-Nummern vor der Erstellung von Change-Tickets im MSRC-Advisory verifizieren.
Angaben von Microsoft (Patch Tuesday Oktober 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- MSRC Security Update Guide: CVE-2026-108463 msrc.microsoft.com
- NVD-mirrored record (Vulners) vulners.com
- Vulnrichment record (Vulners) vulners.com
- threatint CVE record cve.threatint.com
- Strix CVE entry www.strix.ai
- GitHub alert (EPSS and KEV status, automated feed) github.com
- EUVD listing (Vulners) vulners.com
- HKCERT security bulletin, October 2026 www.hkcert.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 19:07.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.