Windows Kernel: Fehlende Autorisierung ermöglicht lokale Rechteerweiterung

Zusammenfassung

Eine fehlende Autorisierungsprüfung im Windows-Kernel erlaubt einem lokal angemeldeten Benutzer, seine Rechte auf dem betroffenen Gerät bis hin zu SYSTEM zu erweitern. Ein Angreifer benötigt lokalen Zugriff und ein Konto mit niedrigen Rechten oder einen bestehenden Zugriffspunkt, etwa durch Schadsoftware oder ein bösartiges Dokument, das ein Benutzer ausführt. Die Schwachstelle erlaubt allein keinen Fernzugriff, kann aber in einer Angriffskette verwendet werden. Der CVSS-Basiswert beträgt 7.8 (HIGH), und der offizielle CVE-Eintrag nennt Windows-10-, Windows-11- und Windows-Server-Editionen.

Betroffen

• Windows 10 Version 1809: vor 10.0.17763.9487
• Windows 10 Version 21H2: vor 10.0.19044.7846
• Windows 10 Version 22H2: vor 10.0.19045.7846
• Windows 11 Version 23H2: vor 10.0.22631.7711
• Windows 11 Version 24H2: vor 10.0.26100.9974
• Windows 11 Version 25H2: vor 10.0.26200.9974
• Windows 11 Version 26H1: vor 10.0.28000.3501
• Windows 11 Version 26H2: vor 10.0.26300.9974
• Windows Server 2019 (inklusive Server Core): vor 10.0.17763.9487
• Windows Server 2022: vor 10.0.20348.5870
• Windows Server 2025 (inklusive Server Core): vor 10.0.26100.33822

Behoben in

• Kumulative Updates, die die Systeme auf die oben genannten Build-Nummern oder höher bringen. Die KB-Artikelnummern sind unbekannt; bitte das MSRC-Advisory prüfen.

Umgehung

Unbekannt. In den verfügbaren Quellen wurde kein Workaround des Herstellers gefunden.

Ausnutzung

• Zum Zeitpunkt der Veröffentlichung ist keine Ausnutzung in freier Wildbahn bekannt.
• In den verfügbaren Quellen wurde kein öffentlicher Proof of Concept gefunden.
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
• CVSS-Temporalmetrik E:U (Reifegrad des Exploit-Codes: unbewiesen).

Unsere Empfehlung

• Das Windows-Sicherheitsupdate für alle betroffenen Builds so rasch wie möglich installieren, zuerst auf Mehrbenutzersystemen, Terminalservern und RDS-Hosts.
• Die installierten Build-Nummern aller Endgeräte und Server mit der obenstehenden Liste abgleichen.
• Lokale Anmeldung und Codeausführung auf die Personen beschränken, die diese Rechte benötigen.
• Auf unerwartete Rechteänderungen und neue SYSTEM-Prozesse achten und den Endpoint-Schutz aktiv halten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-112802 msrc.microsoft.com
• CVE.org Record CVE-2026-112802 www.cve.org
• Strix CVE listing (secondary, server entries unverified) www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 04:16.