Windows SMB Client: Use-after-free ermöglicht lokale Rechteerweiterung

Zusammenfassung

Eine Use-after-free-Schwachstelle (CWE-416) im Windows SMB Client erlaubt einem lokalen Angreifer die Erweiterung seiner Rechte. Der Angreifer benötigt ein Konto mit niedrigen Rechten auf dem betroffenen Gerät, und die Ausnutzung ist sehr komplex, weshalb sie nicht aus der Ferne möglich ist. Die Auswirkungen auf das lokale System sind vollständig (Vertraulichkeit, Integrität und Verfügbarkeit), weshalb sie vor allem als zweite Stufe nach Phishing oder einem gestohlenen Zugangsdaten relevant ist.

Betroffen

• Microsoft Windows 11 Version 26H1 (x64 und ARM64): 10.0.28000.0 vor 10.0.28000.3501
• Ältere Windows-Versionen (zum Beispiel 23H2, 24H2, 25H2 oder Windows 10) sind in den geprüften Quellen nicht aufgeführt. Vor einem Ausschluss mit der Produkttabelle von MSRC bestätigen.

Behoben in

• Windows 11 Version 26H1: Build 10.0.28000.3501 oder neuer, enthalten im Sicherheitsupdate vom November 2026
• KB-Nummer: Unbekannt. Im MSRC-Advisory oder über Windows Update prüfen.

Umgehung

Unbekannt. Es wurde kein Workaround des Herstellers gefunden. Das Sicherheitsupdate ist die einzige bestätigte Behebung.

Ausnutzung

• Kein öffentlicher Proof-of-Concept-Exploit gefunden. Der CVSS-Vektor von MSRC enthält E:U (Reifegrad des Exploit-Codes: nicht nachgewiesen).
• In freier Wildbahn: Nicht bestätigt. Talos nennt vier CVEs, darunter diese, als die im November ausgenutzte Schwachstelle, ohne zu sagen, welche davon ausgenutzt wurde.
• CISA SSVC: Exploitation none, nicht automatisierbar. Laut einer Sekundärquelle nicht im CISA-KEV-Katalog aufgeführt; direkt prüfen.

Unsere Empfehlung

• Eine Inventarisierung durchführen, um Windows-11-26H1-Systeme zu finden.
• Das Sicherheitsupdate vom November 2026 auf betroffenen Systemen im üblichen monatlichen Patch-Zyklus installieren.
• Gemeinsam genutzte Arbeitsstationen und Server mit lokalen Benutzeranmeldungen priorisieren.
• Die Produkttabelle von MSRC für weitere Windows-Versionen prüfen und den CISA-KEV-Katalog auf Änderungen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide: CVE-2026-112970 msrc.microsoft.com
• CVE.org record CVE-2026-112970 www.cve.org
• Talos Patch Tuesday summary, November 2026 blog.talosintelligence.com
• Qualys Patch Tuesday review, November 2026 blog.qualys.com
• Strix summary CVE-2026-112970 (secondary) www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 09:10.