Microsoft Windows Print Spooler: Lokale Rechteerweiterung (Use after Free)

Zusammenfassung

Eine Use-after-Free-Schwachstelle in den Windows Print Spooler Components erlaubt einem berechtigten lokalen Angreifer, seine Rechte zu erweitern. Ein Angreifer mit einem Konto mit niedrigen Rechten auf einem betroffenen System kann höhere Rechte erlangen, potenziell auf SYSTEM-Ebene. Es ist keine Benutzerinteraktion nötig, jedoch lokaler Zugriff und ein gültiges Konto. Eine Ausnutzung wurde nicht beobachtet.

Betroffen

• Windows 10 Version 1607 und Windows Server 2016 (inklusive Server Core): Builds vor 10.0.14393.9688
• Windows 10 Version 1809 und Windows Server 2019 (inklusive Server Core): Builds vor 10.0.17763.9487
• Windows 10 Version 21H2: Builds vor 10.0.19044.7846
• Windows 10 Version 22H2: Builds vor 10.0.19045.7846
• Windows 11 Version 23H2: Builds vor 10.0.22631.7711
• Windows 11 Version 24H2: Builds vor 10.0.26100.9974
• Windows 11 Version 25H2 und 26H2: Builds vor 10.0.26200.9974 bzw. 10.0.26300.9974
• Windows 11 Version 26H1: Builds vor 10.0.28000.3501
• Windows Server 2022: Builds vor 10.0.20348.5870
• Windows Server 2025: Unbekannt, auf dem MSRC-Advisory prüfen

Behoben in

• Behoben durch das kumulative Update vom November 2026 für jeden betroffenen Build (Microsoft Patch Tuesday, 10. November 2026)
• Konkrete KB-Nummern: Unbekannt.

Umgehung

• Unbekannt. In den geprüften Quellen wurde kein Workaround des Herstellers identifiziert.

Ausnutzung

• Eine Ausnutzung in freier Wildbahn ist nicht bekannt.
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
• Die Reife des Exploit-Codes wird als Unproven (E:U) bewertet.
• Es wurde kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Die Windows-Updates vom November 2026 auf allen betroffenen Systemen installieren, zuerst auf Arbeitsstationen, Terminal- und Druckservern.
• Die Build-Nummern vor dem Rollout mit dem MSRC-Advisory abgleichen.
• Wo kein Drucken benötigt wird, den Dienst Print Spooler deaktivieren.
• Lokale Anmeldung auf vertrauenswürdige Benutzer beschränken und auf unerwartete Rechteänderungen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE.org record CVE-2026-112978 www.cve.org
• Microsoft Security Response Center advisory CVE-2026-112978 msrc.microsoft.com
• Tenable: Microsoft November 2026 Patch Tuesday www.tenable.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 04:14.