Windows Print Spooler Components: Use after free ermöglicht lokale Rechteerweiterung

Zusammenfassung

Ein Use-after-free-Fehler in Windows Print Spooler Components ermöglicht es einem berechtigten lokalen Benutzer, seine Rechte zu erweitern. Für die Ausnutzung ist lokaler Zugriff mit niedrigen Berechtigungen und eine hohe Angriffskomplexität erforderlich, weshalb die Schwachstelle nicht direkt aus dem Internet erreichbar ist. Bei erfolgreicher Ausnutzung wären die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit hoch, was insbesondere für Mehrbenutzersysteme und Druckserver relevant ist.

Betroffen

• Windows 10 Version 1607 (Server 2016 ebenfalls betroffen): Builds 10.0.14393.0 bis vor 10.0.14393.9688
• Windows 10 Version 1809 (Server 2019 ebenfalls betroffen): Builds 10.0.17763.0 bis vor 10.0.17763.9487
• Windows 10 Version 21H2: Builds 10.0.19044.0 bis vor 10.0.19044.7846
• Windows 10 Version 22H2: Builds 10.0.19045.0 bis vor 10.0.19045.7846 (laut Drittquelle, mit MSRC zu bestätigen)
• Windows 11 Version 23H2: Builds 10.0.22631.0 bis vor 10.0.22631.7711
• Windows 11 Version 24H2 und 25H2: Builds vor 10.0.26100.9974 beziehungsweise 10.0.26200.9974
• Windows 11 Version 26H1: Builds vor 10.0.28000.3501
• Windows 11 Version 26H2: Builds vor 10.0.26300.9974
• Windows Server 2022: Builds 10.0.20348.0 bis vor 10.0.20348.5870
• Server-Core-Installationen von Windows Server 2016 und 2019 sind ebenfalls aufgeführt

Behoben in

• Das Windows-Sicherheitsupdate vom November 2026 für die betroffene Version installieren (Fix-Build gemäss Abschnitt Betroffene Versionen).
• KB-Nummern: Unbekannt.

Umgehung

• Kein vom Hersteller dokumentierter Workaround gefunden.
• Unbekannt, ob MSRC eine temporäre Massnahme auflistet.
• Nicht vom Hersteller bestätigt: Auf Systemen, die keinen Druck benötigen, kann der Dienst Print Spooler deaktiviert werden.

Ausnutzung

• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Rapid7 stuft die Ausnutzung als eher unwahrscheinlich ein und meldet keine öffentliche Bekanntgabe.
• Zum Zeitpunkt der Recherche wurden kein öffentlicher Proof of Concept und kein CISA-KEV-Eintrag gefunden.
• Talos meldet eine aktiv ausgenutzte Schwachstelle im Release vom November 2026, nennt aber diese CVE nicht.

Unsere Empfehlung

• Das Sicherheitsupdate vom November 2026 im normalen monatlichen Zyklus auf allen betroffenen Windows-Clients und -Servern installieren, mit Priorität auf Mehrbenutzerservern und Druckservern.
• Betroffene Builds und KB-Nummern vor dem Rollout im MSRC Security Update Guide prüfen.
• Lokale Anmelderechte auf gemeinsam genutzten Geräten einschränken und Konten mit lokalem Zugriff überprüfen.
• Print Spooler auf Systemen deaktivieren, die keinen Druck benötigen.
• MSRC-Advisory und CISA KEV auf Hinweise einer Ausnutzung überwachen und die Priorität bei Meldungen anpassen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE Record CVE-2026-112976 www.cve.org
• MSRC Security Update Guide CVE-2026-112976 msrc.microsoft.com
• Strix CVE-2026-112976 (third-party, to verify) www.strix.ai
• Rapid7 Patch Tuesday November 2026 www.rapid7.com
• Talos Microsoft Patch Tuesday November 2026 blog.talosintelligence.com
• GBHackers Microsoft November 2026 Patch Tuesday gbhackers.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 09:07.