Windows: Denial of Service im Security Account Manager

Zusammenfassung

Eine Schwachstelle durch unkontrollierten Ressourcenverbrauch (CWE-407) im Windows Security Account Manager (SAM) erlaubt einem nicht authentifizierten Angreifer aus dem Netzwerk, betroffene Windows-Systeme ausser Betrieb zu setzen. Es sind keine Berechtigungen und keine Benutzerinteraktion nötig, und die Angriffskomplexität ist gering. Vertraulichkeit und Integrität sind nicht betroffen, wohl aber die Verfügbarkeit. Das Risiko hängt davon ab, ob betroffene Systeme aus unvertrauenswürdigen Netzwerken erreichbar sind.

Betroffen

• Windows 10 Version 1607 (10.0.14393.0 bis vor 10.0.14393.9688)
• Windows 10 Version 1809 (10.0.17763.0 bis vor 10.0.17763.9487)
• Windows 10 Version 21H2 (10.0.19044.0 bis vor 10.0.19044.7846)
• Windows 10 Version 22H2 (10.0.19045.0 bis vor 10.0.19045.7846)
• Windows 11 Version 23H2 (10.0.22631.0 bis vor 10.0.22631.7711)
• Windows 11 Version 24H2 (10.0.26100.0 bis vor 10.0.26100.9974)
• Windows 11 Version 25H2 (10.0.26200.0 bis vor 10.0.26200.9974)
• Windows 11 Version 26H1 (10.0.28000.0 bis vor 10.0.28000.3501)
• Windows 11 Version 26H2 (10.0.26300.0 bis vor 10.0.26300.9974)
• Windows Server 2016 inkl. Server Core (10.0.14393.0 bis vor 10.0.14393.9688)
• Windows Server 2019 inkl. Server Core (10.0.17763.0 bis vor 10.0.17763.9487)
• Windows Server 2022 (10.0.20348.0 bis vor 10.0.20348.5870)
• Windows Server 2025: Unbekannt (nur in einem Drittanbieter-Tracker aufgeführt, nicht von MSRC bestätigt)

Behoben in

• Behobene Builds gemäss CNA-Eintrag: 10.0.14393.9688 (1607, Server 2016), 10.0.17763.9487 (1809, Server 2019), 10.0.19044.7846 (21H2), 10.0.19045.7846 (22H2), 10.0.22631.7711 (23H2), 10.0.26100.9974 (24H2), 10.0.26200.9974 (25H2), 10.0.28000.3501 (26H1), 10.0.26300.9974 (26H2), 10.0.20348.5870 (Server 2022)
• Die Behebung erfolgt über ein Windows-Sicherheitsupdate. KB-Nummern: Unbekannt, bis sie auf MSRC verifiziert sind.

Umgehung

• Unbekannt. In den geprüften Quellen wurde kein Workaround des Herstellers gefunden.
• Bis zur Installation des Patches den Netzwerkzugriff auf betroffene Systeme einschränken und unnötigen eingehenden Verwaltungs-, RPC- und SMB-Zugriff blockieren. Dies ist allgemeine Härtung und keine von Microsoft dokumentierte Massnahme für diese CVE.

Ausnutzung

• Es wurden keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
• Der Microsoft-CVE-Eintrag enthält den Wert E:U (Exploit-Reife nicht nachgewiesen).
• CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial.
• VulDB meldet keinen verfügbaren Exploit (Einschätzung des Trackers).

Unsere Empfehlung

• Alle Windows-10- und Windows-Server-Systeme inventarisieren und deren Build-Nummern mit den oben genannten behobenen Builds vergleichen.
• Supportstatus und ESU-Status prüfen; nicht mehr unterstützte Builds wie 1607, 1809, 21H2 und 22H2 erhalten die Behebung nicht und müssen aktualisiert oder isoliert werden.
• Die KB-Nummer des Updates vom November 2026 auf der MSRC-Seite bestätigen und installieren; Server sowie aus dem Internet oder aus Gast- und Filialnetzen erreichbare Systeme priorisieren.
• Die Erreichbarkeit betroffener Systeme bis zum Patch einschränken.
• Exponierte Systeme auf Abstürze, hängende Dienste und ungewöhnliche SAM-bezogene Fehler überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-112966 msrc.microsoft.com
• CVE Record (CVE Program) www.cve.org
• VulDB entry 434883 vuldb.com
• Strix AI tracker (secondary, unconfirmed product list) www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 05:57.