Windows Print Spooler Components: Rechteausweitung durch Use-after-Free

Zusammenfassung

Ein Use-after-Free-Fehler in den Windows Print Spooler Components ermöglicht einem berechtigten Angreifer mit lokalem Zugriff eine Rechteausweitung. Für die Ausnutzung ist ein Konto mit niedrigen Rechten nötig, und die Angriffskomplexität wird als hoch eingestuft. Die Schwachstelle ist nicht direkt aus dem Internet erreichbar, daher besteht das Hauptrisiko in einer Ausweitung nach einer bereits erfolgten Kompromittierung, etwa durch Phishing oder ein kompromittiertes Benutzerkonto. Der Print Spooler ist auf den meisten Windows-Arbeitsstationen und Servern standardmässig aktiviert.

Betroffen

• Windows 10 Version 1607 und Windows Server 2016 (inklusive Server Core): Builds vor 10.0.14393.9688
• Windows 10 Version 1809 und Windows Server 2019 (inklusive Server Core): Builds vor 10.0.17763.9487
• Windows 10 Version 21H2: Builds vor 10.0.19044.7846
• Windows 10 Version 22H2: Builds vor 10.0.19045.7846
• Windows 11 Version 23H2: Builds vor 10.0.22631.7711
• Windows 11 Version 24H2: Builds vor 10.0.26100.9974
• Windows 11 Version 25H2: Builds vor 10.0.26200.9974
• Windows 11 Version 26H1: Builds vor 10.0.28000.3501
• Windows 11 Version 26H2: Builds vor 10.0.26300.9974
• Windows Server 2022: Builds vor 10.0.20348.5870

Behoben in

• Behobene Builds: die oben nicht als betroffen aufgeführten Builds, gemäss offiziellem CVE-Eintrag.
• KB-Nummern: Unbekannt. Auf dem MSRC Security Update Guide prüfen.

Umgehung

Unbekannt für diese CVE. Allgemeine Härtung des Spoolers (nicht spezifisch für diese CVE):

• Den Dienst Print Spooler auf Systemen deaktivieren, die nicht drucken.
• Einschränken, wer Drucker oder Treiber installieren kann.

Ausnutzung

• In freier Wildbahn: Zum Zeitpunkt der Veröffentlichung keine bekannte Ausnutzung.
• Öffentlicher Proof-of-Concept: Keiner gefunden.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• CISA KEV: Kein Eintrag gefunden.

Unsere Empfehlung

• Die betroffenen Produkte, KB-Nummern und behobenen Builds im MSRC Security Update Guide bestätigen.
• Das Microsoft-Update für diese CVE einspielen, sobald MSRC die Abdeckung bestätigt.
• Den Print Spooler auf Servern und Arbeitsstationen deaktivieren, die keinen Druck benötigen.
• CVE-2026-113752 (kritische Remote Code Execution im Print Spooler) mit Vorrang patchen und die Exposition prüfen.
• Ausnutzungsstatus und KEV-Eintrag in den kommenden Tagen erneut prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide: CVE-2026-112797 msrc.microsoft.com
• CVE.org record CVE-2026-112797 www.cve.org
• MSRC Security Update Guide: CVE-2026-113752 (related Print Spooler RCE) msrc.microsoft.com
• MSRC Security Update Guide: CVE-2026-112791 (related Print Spooler EoP) msrc.microsoft.com
• GBHackers: Microsoft November 2026 Patch Tuesday gbhackers.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 09:14.