Microsoft Windows: Lokale Rechteerweiterung im Defender Firewall Service

Zusammenfassung

Eine Double-Free-Schwachstelle (CWE-415) im Windows Defender Firewall Service erlaubt es einem berechtigten lokalen Angreifer, seine Privilegien zu erweitern. Der Angreifer benötigt einen lokalen Zugang mit niedrigen Rechten, etwa ein Standardbenutzerkonto, und kann die Schwachstelle nicht remote ausnutzen. Eine erfolgreiche Ausnutzung könnte dem Angreifer die vollständige Kontrolle über das betroffene System verschaffen.

Betroffen

• Windows 10 Version 1607: 10.0.14393.0 bis vor 10.0.14393.9688
• Windows 10 Version 1809: 10.0.17763.0 bis vor 10.0.17763.9487
• Windows 10 Version 21H2: 10.0.19044.0 bis vor 10.0.19044.7846
• Windows 10 Version 22H2: 10.0.19045.0 bis vor 10.0.19045.7846
• Windows 11 Version 23H2: 10.0.22631.0 bis vor 10.0.22631.7711
• Windows 11 Version 24H2: 10.0.26100.0 bis vor 10.0.26100.9974
• Windows 11 Version 25H2: 10.0.26200.0 bis vor 10.0.26200.9974
• Windows 11 Version 26H1: 10.0.28000.0 bis vor 10.0.28000.3501
• Windows 11 Version 26H2: 10.0.26300.0 bis vor 10.0.26300.9974
• Windows Server 2016 (inklusive Server Core): 10.0.14393.0 bis vor 10.0.14393.9688
• Windows Server 2019 (inklusive Server Core): 10.0.17763.0 bis vor 10.0.17763.9487
• Windows Server 2022: 10.0.20348.0 bis vor 10.0.20348.5870

Behoben in

• Das Sicherheitsupdate vom November 2026 für die jeweilige Windows-Version installieren (korrigierte Builds gemäss Herstellerangaben im CVE-Eintrag: 10.0.14393.9688, 10.0.17763.9487, 10.0.19044.7846, 10.0.19045.7846, 10.0.22631.7711, 10.0.26100.9974, 10.0.26200.9974, 10.0.28000.3501, 10.0.26300.9974, 10.0.20348.5870)
• KB-Nummern und die vollständige Produkttabelle im MSRC-Advisory prüfen

Umgehung

Unbekannt. In den geprüften Quellen wurde kein Workaround des Herstellers gefunden. Das Einspielen von Patches ist die Massnahme der Wahl.

Ausnutzung

• Gemäss CNA-Eintrag von Microsoft und VulDB nicht öffentlich bekannt; kein öffentlicher Proof of Concept bekannt
• Einschätzung der Ausnutzbarkeit durch Microsoft: Less Likely (unwahrscheinlich)
• CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung
• Rapid7 meldet, dass Microsoft eine Ausnutzung in freier Wildbahn für eine Schwachstelle dieses Patch-Zyklus kennt; die Quelle nennt diese nicht, daher lässt sich nicht bestätigen, ob es sich um diese CVE handelt

Unsere Empfehlung

• Betroffene Systeme im Patch-Zyklus vom November 2026 aktualisieren, zuerst Server und Administrator-Arbeitsstationen
• Windows 10 1607, 1809 und 21H2 priorisieren, da diese in KMU häufig noch im Einsatz sind; Supportstatus und ESU-Status prüfen
• Lokale sowie interaktive und Remote-Anmeldungen auf betroffenen Hosts einschränken und unnötige lokale Konten reduzieren
• Endpoint-Schutz aktiv halten und auf unerwartete Änderungen von Berechtigungen achten

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE Record (CNA Microsoft) www.cve.org
• MSRC Security Update Guide msrc.microsoft.com
• VulDB vuldb.com
• Rapid7 Patch Tuesday November 2026 www.rapid7.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 04:18.