Windows Software Protection Platform: Use-after-free ermöglicht lokale Rechteerweiterung

Zusammenfassung

Eine Use-after-free-Schwachstelle in der Software Protection Platform (SPP) von Windows erlaubt einem berechtigten lokalen Benutzer, seine Rechte zu erweitern. Der Angriff setzt ein lokales Konto mit niedrigen Rechten voraus und ist schwer zuverlässig durchführbar (hohe Angriffskomplexität). Ein Angreifer, der bereits auf einem Mehrbenutzersystem Fuss gefasst hat, könnte so die volle Kontrolle über den Host erlangen.

Betroffen

• Windows 10 Version 1607 und Windows Server 2016 (inklusive Server Core): Builds vor 10.0.14393.9612
• Windows 10 Version 1809 und Windows Server 2019 (inklusive Server Core): Builds vor 10.0.17763.9376
• Windows 10 Version 21H2: Builds vor 10.0.19044.7807
• Windows 10 Version 22H2: Builds vor 10.0.19045.7807
• Windows 11 Version 23H2: Builds vor 10.0.22631.7652
• Windows 11 Version 24H2: Builds vor 10.0.26100.9711
• Windows 11 Version 25H2 und 26H2: Builds vor 10.0.26200.9711 bzw. 10.0.26300.9711
• Windows 11 Version 26H1: Builds vor 10.0.28000.3231
• Windows Server 2022: Builds vor 10.0.20348.5761
• Windows Server 2025: laut Drittquellen betroffen, Build-Angaben nicht bestätigt

Behoben in

• Behoben in den Sicherheitsupdates vom Oktober 2026 (Build-Nummern gemäss CNA-Daten, auf MSRC zu bestätigen):
• 10.0.14393.9612 (Windows 10 1607, Server 2016)
• 10.0.17763.9376 (Windows 10 1809, Server 2019)
• 10.0.19044.7807 (Windows 10 21H2)
• 10.0.19045.7807 (Windows 10 22H2)
• 10.0.22631.7652 (Windows 11 23H2)
• 10.0.26100.9711 (Windows 11 24H2)
• 10.0.26200.9711 (Windows 11 25H2)
• 10.0.28000.3231 (Windows 11 26H1)
• 10.0.26300.9711 (Windows 11 26H2)
• 10.0.20348.5761 (Windows Server 2022)
• KB-Nummern: für die meisten Builds unbekannt; Drittquellen nennen KB5126651, KB5126653 und KB5126646, Microsoft hat dies nicht bestätigt.

Umgehung

Unbekannt. In den Quellen wurde keine Massnahme oder Umgehungslösung gefunden. Die Installation des korrigierten Updates ist die Abhilfe.

Ausnutzung

• Aktive Ausnutzung: keine Hinweise gefunden; die CISA-SSVC-Bewertung lautet Ausnutzung: keine.
• Öffentlicher Proof of Concept: keiner gefunden.
• EPSS: niedrig (Quellen nennen 0,00252 bzw. 0,28 %).
• CISA SSVC: nicht automatisierbar, technische Auswirkung total.
• Die Einschätzung der Ausnutzbarkeit durch Microsoft konnte nicht abgerufen werden.

Unsere Empfehlung

• Das Sicherheitsupdate vom Oktober 2026 auf allen betroffenen Windows-Hosts installieren, zuerst auf Mehrbenutzersystemen, Terminal- bzw. RDS-Servern und gemeinsam genutzten Arbeitsstationen.
• Die korrekten Build-Nummern im MSRC Security Update Guide prüfen, da die Quellen bei einzelnen Werten voneinander abweichen.
• Windows-10-1607- und Server-2016-Systeme identifizieren; der Support für Windows 10 Enterprise LTSB 2016 sollte am 13. Oktober 2026 enden, daher prüfen, ob für Ihre Version eine Korrektur verfügbar ist.
• Lokale Anmeldungen auf vertrauenswürdige Benutzer beschränken und auf ungewöhnliche Rechteänderungen überwachen.
• Den CISA-KEV-Status regelmässig prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide (CVE-2026-108464) msrc.microsoft.com
• MSRC Security Update Guide, en-US msrc.microsoft.com
• Vulners NVD record vulners.com
• Vulners CVELIST record vulners.com
• Vulners MSCVE record vulners.com
• Strix CVE page (third-party mirror) www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 04.11.2026 09:41.