Windows Print Spooler: Lokale Rechteerweiterung durch Use-after-Free

Zusammenfassung

Eine Use-after-Free-Schwachstelle in den Windows Print Spooler Components erlaubt einem berechtigten lokalen Angreifer, seine Rechte zu erweitern. Der Angreifer benötigt lokalen Zugriff und ein Konto mit niedrigen Rechten, zudem ist die Ausnutzung komplex (CVSS-3.1-Basiswert 7.0, AC:H). Microsoft hat Korrekturen veröffentlicht; eine Ausnutzung in freier Wildbahn oder öffentlicher Proof-of-Concept-Code ist nicht bekannt.

Betroffen

• Windows 10 Version 1607 (Builds vor 10.0.14393.9688)
• Windows 10 Version 1809 (Builds vor 10.0.17763.9487)
• Windows 10 Version 21H2 (Builds vor 10.0.19044.7846)
• Windows 10 Version 22H2 (Builds vor 10.0.19045.7846)
• Windows 11 Version 23H2 (Builds vor 10.0.22631.7711)
• Windows 11 Version 24H2 (Builds vor 10.0.26100.9974)
• Windows 11 Version 25H2 (Builds vor 10.0.26200.9974)
• Windows 11 Version 26H1 (Builds vor 10.0.28000.3501)
• Windows 11 Version 26H2 (Builds vor 10.0.26300.9974)
• Windows Server 2016, inklusive Server Core (Builds vor 10.0.14393.9688)
• Windows Server 2019, inklusive Server Core (Builds vor 10.0.17763.9487)
• Windows Server 2022 (Builds vor 10.0.20348.5870)

Behoben in

• Installieren Sie das Microsoft-Sicherheitsupdate vom November 2026 für Ihre Windows-Version.
• Die Build-Nummern gemäss CNA-Eintrag von Microsoft sind unter Betroffen aufgeführt; gefixt ist die Version, die diesen Nummern entspricht oder darüber liegt.
• Gefixte Builds für Windows 10 21H2 und 22H2 sind in den geprüften Auszügen nicht bestätigt.

Umgehung

• Keine offizielle Workaround-Massnahme von Microsoft bekannt.
• Auf Systemen, die nicht drucken, ist das Deaktivieren des Print-Spooler-Dienstes eine übliche Härtungsmassnahme. Prüfen Sie vorher die Auswirkungen auf Geschäftsanwendungen.

Ausnutzung

• Keine Ausnutzung in freier Wildbahn bekannt.
• Kein öffentlicher Proof-of-Concept-Code gefunden.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Microsoft-Reifegrad des Exploit-Codes: Unproven.

Unsere Empfehlung

• Patchen Sie alle Windows-Clients und Server mit dem Update vom November 2026, einschliesslich der übrigen Print-Spooler-Korrekturen aus demselben Paket (zum Beispiel CVE-2026-113752, als kritisch eingestuft).
• Deaktivieren Sie den Print-Spooler-Dienst auf Systemen, die keinen Druck benötigen.
• Beschränken Sie lokale Administratorrechte und gemeinsam genutzte Benutzerkonten, um die Folgen eines ersten Einbruchs zu begrenzen.
• Überwachen Sie ungewöhnliche Prozessaktivitäten im Zusammenhang mit spoolsv.exe.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-112792 msrc.microsoft.com
• CVE.org Microsoft CNA record: CVE-2026-112792 www.cve.org
• MSRC: CVE-2026-113752 (same Patch Tuesday batch) msrc.microsoft.com
• Third-party KB summary (KB5131090, unverified) senserva.com
• Patch Tuesday roundup (unverified) www.newsbeep.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 09:17.