Windows Event Collector Service: Double Free ermöglicht lokale Rechteerweiterung

Zusammenfassung

Eine Double-Free-Schwachstelle (CWE-415) im Windows Event Collector Service ermöglicht einem berechtigten lokalen Angreifer eine Rechteerweiterung. Der CVSS-Vektor setzt lokalen Zugriff, hohe Angriffskomplexität, niedrige Berechtigungen und keine Benutzerinteraktion voraus, weshalb ein Angreifer bereits einen Zugriff auf dem Host haben muss. Die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit werden als hoch eingestuft. Die Bewertung von Microsoft deutet darauf hin, dass zum Zeitpunkt der Veröffentlichung kein öffentlicher Exploit-Code existiert, dies ist jedoch keine unabhängige Bestätigung.

Betroffen

• Windows 10 Version 1607: 10.0.14393.0 vor 10.0.14393.9688
• Windows 10 Version 1809: 10.0.17763.0 vor 10.0.17763.9487
• Windows 10 Version 21H2: 10.0.19044.0 vor 10.0.19044.7846
• Windows 10 Version 22H2: 10.0.19045.0 vor 10.0.19045.7846
• Windows 11 Version 23H2: 10.0.22631.0 vor 10.0.22631.7711
• Windows 11 Version 24H2: 10.0.26100.0 vor 10.0.26100.9974
• Windows 11 Version 25H2: 10.0.26200.0 vor 10.0.26200.9974
• Windows 11 Version 26H1: 10.0.28000.0 vor 10.0.28000.3501
• Windows 11 Version 26H2: 10.0.26300.0 vor 10.0.26300.9974
• Windows Server 2016 (inklusive Server Core): 10.0.14393.0 vor 10.0.14393.9688
• Windows Server 2019 (inklusive Server Core): 10.0.17763.0 vor 10.0.17763.9487
• Windows Server 2022: 10.0.20348.0 vor 10.0.20348.5870

Behoben in

• Build-Nummern ab den genannten Werten nach «vor» gelten als behoben; die Updates wurden mit dem Patch Tuesday im November 2026 veröffentlicht.
• Exakte KB-Nummern: siehe Microsoft Security Update Guide.

Umgehung

Unbekannt.

• Kein vom Hersteller dokumentierter Workaround gefunden.

Ausnutzung

• Microsoft stuft die Exploit-Code-Reife als unbewiesen (E:U) und die Report Confidence als bestätigt (RC:C) ein.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Keine Hinweise auf einen Eintrag im CISA-KEV-Katalog, öffentlichen Proof-of-Concept-Code oder Ausnutzung in freier Wildbahn für diese CVE gefunden.

Unsere Empfehlung

• Im regulären monatlichen Zyklus patchen; Windows-Server mit aktivem Windows Event Collector Service priorisieren.
• Prüfen, ob der Dienst in Verwendung ist (PowerShell: Get-Service Wecsvc oder services.msc).
• Falls der Dienst nicht benötigt wird, ihn bis zum Patch stoppen und deaktivieren (Einschätzung des Analysten, nicht vom Hersteller bestätigt).
• Auf Meldungen zu Ausnutzung achten sowie lokale Konten und privilegierte Zugriffe überprüfen.
• Patchstand der betroffenen Systeme nach der Installation verifizieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-112796 msrc.microsoft.com
• CVE Record CVE-2026-112796 www.cve.org
• Rapid7: Patch Tuesday November 2026 www.rapid7.com
• Talos: Microsoft Patch Tuesday November 2026 blog.talosintelligence.com
• strix.ai: CVE-2026-112796 (unverified aggregator) www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 09:14.