Windows Print Spooler: Rechteausweitung durch Use-after-free

Zusammenfassung

Eine Use-after-free-Schwachstelle in den Windows-Print-Spooler-Komponenten erlaubt einem berechtigten lokalen Benutzer, seine Rechte auszuweiten. Ein Angreifer benötigt zuerst einen Zugriff auf das System, beispielsweise durch Schadsoftware aus einem Phishing-Angriff oder über ein kompromittiertes Standardkonto. Nach erfolgreicher Ausnutzung sind Vertraulichkeit, Integrität und Verfügbarkeit vollständig gefährdet.

Betroffen

• Windows 10 Version 1607 und Windows Server 2016 (inklusive Server-Core-Installation): Builds vor 10.0.14393.9688
• Windows 10 Version 1809 und Windows Server 2019 (inklusive Server-Core-Installation): Builds vor 10.0.17763.9487
• Windows 10 Version 21H2: Builds vor 10.0.19044.7846
• Windows 10 Version 22H2: Builds vor 10.0.19045.7846
• Windows 11 Version 23H2: Builds vor 10.0.22631.7711
• Windows 11 Version 24H2 und 25H2, Windows 11 Version 26H2: Builds vor 10.0.26100.9974, 10.0.26200.9974 und 10.0.26300.9974
• Windows 11 Version 26H1: Builds vor 10.0.28000.3501
• Windows Server 2022: Builds vor 10.0.20348.5870
• Die Abdeckung weiterer Builds ist unverifiziert.

Behoben in

• Behoben mit den Updates des Microsoft Patch Tuesday vom November 2026.
• Die behobenen Build-Nummern sind im MSRC-Advisory aufgeführt; vor dem Rollout die Build-Nummern und die KB-Artikel pro Produkt prüfen.

Umgehung

• Vom Hersteller ist kein Workaround dokumentiert; die Installation des Updates vom November 2026 ist die Massnahme.
• Nicht verifizierte allgemeine Massnahme: Auf Printservern und Endgeräten, die keinen Druck benötigen, reduziert das Deaktivieren des Print-Spooler-Dienstes die Exponierung gegenüber Spooler-Schwachstellen.

Ausnutzung

• Microsoft stuft die Ausnutzung als weniger wahrscheinlich ein; die Schwachstelle ist nicht öffentlich bekannt.
• CISA SSVC: keine Ausnutzung, nicht automatisierbar, totale technische Auswirkung.
• Kein öffentlicher Proof of Concept gefunden.
• Aufnahme in den CISA-KEV-Katalog: unbekannt, nicht geprüft.

Unsere Empfehlung

• Das Sicherheitsupdate vom November 2026 auf allen betroffenen Windows-Clients und -Servern installieren, zuerst Printserver und gemeinsam genutzte Arbeitsstationen.
• Die installierten Build-Nummern mit der MSRC-Tabelle abgleichen.
• Auf Systemen, die keinen Druck benötigen, den Print-Spooler-Dienst deaktivieren.
• Auf öffentlichen Exploit-Code oder einen Eintrag im KEV-Katalog überwachen und bei einem solchen Fall das Patchen beschleunigen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide: CVE-2026-112980 msrc.microsoft.com
• CVE.org CVE Record: CVE-2026-112980 www.cve.org
• Rapid7: Patch Tuesday November 2026 www.rapid7.com
• GBHackers: Microsoft November 2026 Patch Tuesday gbhackers.com
• strix.ai: CVE-2026-112980 (aggregator, unverified) www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 11:33.