Windows Print Spooler Components: Lokale Rechteerweiterung durch Pufferüberlauf

Zusammenfassung

Ein stapelbasierter Pufferüberlauf in den Windows Print Spooler Components erlaubt einem Angreifer mit einem gültigen Konto mit niedrigen Rechten, seine Privilegien lokal zu erweitern. Erfolgreiche Ausnutzung kann dem Angreifer SYSTEM-Rechte auf dem betroffenen Gerät verschaffen, was Ransomware-Einsätze und seitliche Bewegungen im Netzwerk unterstützt. Der Angriff setzt lokalen Zugriff und ein bestehendes Benutzerkonto voraus, ein phishing-kompromittiertes Benutzerkonto genügt jedoch.

Betroffen

• Windows 10 Version 1607 (vor 10.0.14393.9688)
• Windows 10 Version 1809 (vor 10.0.17763.9487)
• Windows 10 Version 21H2 (vor 10.0.19044.7846)
• Windows 10 Version 22H2 (vor 10.0.19045.7846)
• Windows 11 Version 23H2 (vor 10.0.22631.7711)
• Windows 11 Version 24H2 (vor 10.0.26100.9974)
• Windows 11 Version 25H2 (vor 10.0.26200.9974)
• Windows 11 Version 26H1 (vor 10.0.28000.3501)
• Windows 11 Version 26H2 (vor 10.0.26300.9974)
• Windows Server 2016, inkl. Server Core (vor 10.0.14393.9688)
• Windows Server 2019, inkl. Server Core (vor 10.0.17763.9487)
• Windows Server 2022 (vor 10.0.20348.5870)

Behoben in

• Behoben in den Sicherheitsupdates vom November 2026 (Patch Tuesday) für die oben aufgeführten Builds.
• Die Build-Nummern sind die ersten behobenen Builds gemäss CVE-Eintrag. Die KB-Artikelnummern sind dem MSRC Update Guide zu entnehmen.

Umgehung

Unbekannt.

• In den verfügbaren Quellen wurde kein Workaround von Microsoft oder Dritten gefunden. Vor dem Einsatz einer Zwischenmassnahme sind die FAQ und der Abschnitt zu Mitigations im MSRC prüfen.

Ausnutzung

• Zum Zeitpunkt der Veröffentlichung nicht aktiv ausgenutzt (MSRC: Exploited: No).
• Tenable stuft die Ausnutzung als "More Likely" (wahrscheinlicher) ein.
• CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
• Kein öffentlicher Proof-of-Concept gefunden.
• Status im CISA KEV nicht verifiziert.

Unsere Empfehlung

• Die Sicherheitsupdates vom November 2026 auf allen betroffenen Windows-Clients und -Servern installieren, mit Priorität auf Domänencontrollern, Datei- und Druckservern sowie Terminalservern.
• Im MSRC-Update-Guide für jede Edition den exakten KB-Artikel prüfen.
• Lokale Anmeldungen einschränken und die Rechte von Benutzerkonten begrenzen.
• Auf öffentliche Proof-of-Concept-Codes, eine Aufnahme in den CISA KEV und auffällige Print-Spooler-Aktivitäten achten.
• Den Print Spooler auf Systemen, die keinen Druck benötigen, deaktivieren, nachdem die Auswirkungen mit Microsoft geprüft wurden.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-112811 msrc.microsoft.com
• CVE Record CVE-2026-112811 www.cve.org
• Tenable: Microsoft November 2026 Patch Tuesday www.tenable.com
• Talos: Microsoft Patch Tuesday for November 2026 blog.talosintelligence.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 04:15.