Windows Event Collector Service: Use-after-free-Rechteerweiterung

Zusammenfassung

Ein Use-after-free-Fehler (CWE-416, CWE-362) im Windows Event Collector Service erlaubt einem berechtigten Angreifer über das Netzwerk, seine Rechte zu erweitern. Der Angreifer benötigt ein gültiges Konto mit niedrigen Rechten auf einem erreichbaren Host, und die Angriffskomplexität ist hoch. Bei erfolgreicher Ausnutzung könnten Vertraulichkeit, Integrität und Verfügbarkeit des Hosts vollständig beeinträchtigt werden. Microsoft bewertet den CVSS-3.1-Basiswert mit 7.5.

Betroffen

• Windows 10 Version 1607 und Windows Server 2016 (inklusive Server Core): Builds 10.0.14393.0 bis vor 10.0.14393.9688
• Windows 10 Version 1809 und Windows Server 2019 (inklusive Server Core): Builds 10.0.17763.0 bis vor 10.0.17763.9487
• Windows 10 Version 21H2: Builds 10.0.19044.0 bis vor 10.0.19044.7846
• Windows 10 Version 22H2: Builds 10.0.19045.0 bis vor 10.0.19045.7846
• Windows 11 Versionen 23H2, 24H2, 25H2, 26H1 und 26H2 sowie Windows Server 2022: genaue Build-Bereiche siehe CVE-Eintrag

Behoben in

• Korrigierte Builds gemäss CVE-Eintrag: 10.0.14393.9688 (Windows 10 1607, Server 2016), 10.0.17763.9487 (1809, Server 2019), 10.0.19044.7846 (21H2), 10.0.19045.7846 (22H2), 10.0.22631.7711 (Windows 11 23H2), 10.0.26100.9974 (Windows 11 24H2), 10.0.26200.9974 (Windows 11 25H2), 10.0.28000.3501 (Windows 11 26H1), 10.0.26300.9974 (Windows 11 26H2), 10.0.20348.5870 (Server 2022)
• KB-Nummern: Unbekannt. In der MSRC-Meldung überprüfen.

Umgehung

Unbekannt.

• Falls Windows Event Forwarding nicht genutzt wird, den Windows Event Collector Service deaktivieren und die zugehörigen Verwaltungsports auf vertrauenswürdige Hosts beschränken. Vorher testen, da die Protokollsammlung ausfallen kann.

Ausnutzung

• CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar.
• Zum Zeitpunkt der Recherche wurde weder ein öffentlicher Proof of Concept noch eine Ausnutzung in freier Wildbahn gefunden.
• Die Angaben zur Ausnutzbarkeit im MSRC wurden nicht verifiziert. MSRC und den CISA-KEV-Katalog erneut prüfen.

Unsere Empfehlung

• Betroffene Windows-10- und Windows-Server-Systeme im nächsten Update-Zyklus patchen, sobald die KB-Nummern im MSRC bestätigt sind.
• Prüfen, ob Windows 10 1607, 1809 und 21H2 noch unterstützt werden, und Upgrades wo nötig planen.
• Erfassen, wo der Windows Event Collector Service läuft, und Server für Event Forwarding priorisieren.
• Betroffene Hosts auf ungewöhnliche Rechteerweiterungen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE.org record CVE-2026-112793 (Microsoft CNA) www.cve.org
• MSRC Security Update Guide CVE-2026-112793 msrc.microsoft.com
• Action1 Patch Tuesday November 2026 (secondary) www.action1.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 05:58.