Windows Print Spooler: Lokale Rechteausweitung über TOCTOU-Race-Condition

Zusammenfassung

Eine Time-of-Check-Time-of-Use-(TOCTOU-)Race-Condition in den Windows Print Spooler Components erlaubt einem berechtigten lokalen Benutzer, seine Rechte zu erweitern. Ein Angreifer braucht zuerst einen Zugang zum betroffenen System, zum Beispiel über ein kompromittiertes Benutzerkonto, und die Angriffskomplexität ist hoch. Eine erfolgreiche Ausnutzung könnte einem Angreifer höhere Rechte auf dem System verschaffen, was vor allem auf Servern und Domain Controllern relevant ist, auf denen der Print Spooler läuft.

Betroffen

• Windows 10 Version 1607 (10.0.14393.0 vor 10.0.14393.9688)
• Windows 10 Version 1809 (10.0.17763.0 vor 10.0.17763.9487)
• Windows 10 Version 21H2 (10.0.19044.0 vor 10.0.19044.7846)
• Windows 10 Version 22H2 (10.0.19045.0 vor 10.0.19045.7846)
• Windows 11 Version 23H2 (10.0.22631.0 vor 10.0.22631.7711)
• Windows 11 Version 24H2 (10.0.26100.0 vor 10.0.26100.9974)
• Windows 11 Version 25H2 (10.0.26200.0 vor 10.0.26200.9974)
• Windows 11 Version 26H1 (10.0.28000.0 vor 10.0.28000.3501)
• Windows 11 Version 26H2 (10.0.26300.0 vor 10.0.26300.9974)
• Windows Server 2016, inklusive Server Core (10.0.14393.0 vor 10.0.14393.9688)
• Windows Server 2019, inklusive Server Core (10.0.17763.0 vor 10.0.17763.9487)
• Windows Server 2022 (10.0.20348.0 vor 10.0.20348.5870)
• Windows Server 2025: Unbekannt (nicht im offiziellen CVE-Eintrag aufgeführt)

Behoben in

• Microsoft-Sicherheitsupdate vom November 2026 (veröffentlicht am 2026-11-10)
• Korrigierte Builds gemäss Abschnitt betroffene Versionen; KB-Nummern: Unbekannt (auf der MSRC-Seite prüfen)

Umgehung

• Unbekannt. In den Quellen wurde kein Workaround von Microsoft gefunden.
• Die Deaktivierung des Print-Spooler-Dienstes ist eine allgemeine Option auf Systemen, die kein Drucken benötigen, ist für diese CVE aber nicht als Massnahme bestätigt.

Ausnutzung

• Der CVE-Eintrag verwendet die Exploit-Reife E:U (unbewiesen) und die Berichtsvertrauenswürdigkeit RC:C (bestätigt).
• Talos berichtet, dass Microsoft eine Schwachstelle aus dem Release vom November 2026 als aktiv ausgenutzt führt, der Beitrag nennt sie aber nicht. Ob diese CVE betroffen ist, ist Unbekannt; das MSRC-Flag Exploited prüfen.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• In der Recherche wurde kein öffentlicher Proof of Concept gefunden. Die NVD-Analyse stand noch aus und es wurde kein Eintrag im CISA-KEV-Katalog gefunden.

Unsere Empfehlung

• Das Microsoft-Sicherheitsupdate vom November 2026 auf allen betroffenen Windows-Clients und -Servern installieren, zuerst auf Domain Controllern und Dateiservern.
• Auf der MSRC-Seite die KB-Nummern und den Status Exploited prüfen; bei bestätigter Ausnutzung das Patchen vorziehen.
• Auf Servern und PCs, die kein Drucken benötigen, kann der Print-Spooler-Dienst nach Test deaktiviert werden.
• Lokale Konten einschränken, privilegierte Konten überprüfen und auf unerwartete Rechteänderungen oder neue Dienste achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-112791 msrc.microsoft.com
• CVE.org record CVE-2026-112791 www.cve.org
• Talos: Microsoft Patch Tuesday for November 2026 blog.talosintelligence.com
• Qualys: Microsoft Patch Tuesday November 2026 review blog.qualys.com
• Strix mirror (unverified version data) www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 09:17.