Windows: Fehlende Authentifizierung für kritische Funktion in Microsoft Account

Zusammenfassung

Microsoft Windows enthält eine Schwachstelle in der Komponente Microsoft Account, bei der eine kritische Funktion nicht authentifiziert wird (CWE-306). Ein Angreifer mit lokalem Zugriff und einem Konto mit niedrigen Berechtigungen kann Daten manipulieren, was laut CVSS-Vektor nur die Integrität betrifft. Es ist keine Benutzerinteraktion nötig, und die Schwachstelle lässt sich nicht aus der Ferne ausnutzen. Microsoft hat die Schwachstelle mit den Sicherheitsupdates vom November 2026 behoben.

Betroffen

• Windows 10 Version 1607 (vor 10.0.14393.9688)
• Windows 10 Version 1809 (vor 10.0.17763.9487)
• Windows 10 Version 21H2 (vor 10.0.19044.7846)
• Windows 10 Version 22H2 (vor 10.0.19045.7846)
• Windows 11 Version 23H2 (vor 10.0.22631.7711)
• Windows 11 Version 24H2 (vor 10.0.26100.9974; eine Quelle nennt 10.0.26100.33822, unbestätigt)
• Windows 11 Version 25H2 (vor 10.0.26200.9974)
• Windows 11 Version 26H1 (vor 10.0.28000.3501)
• Windows 11 Version 26H2 (vor 10.0.26300.9974)
• Windows Server 2016 inkl. Server Core (vor 10.0.14393.9688)
• Windows Server 2019 inkl. Server Core (vor 10.0.17763.9487)
• Windows Server 2022 (vor 10.0.20348.5870)
• Windows Server 2025: nur in einem Drittanbieter-Tracker aufgeführt, unbestätigt

Behoben in

• Sicherheitsupdate vom November 2026 für jedes betroffene Produkt
• KB-Nummern: Unbekannt (im MSRC-Advisory prüfen)

Umgehung

Unbekannt.

Ausnutzung

• Laut CNA-Eintrag von Microsoft, CISA SSVC (Exploitation: none) und den geprüften Quellen weder ausgenutzt noch öffentlich bekannt
• Rapid7 stuft die Ausnutzung als weniger wahrscheinlich ein
• Kein öffentlicher Proof of Concept gefunden

Unsere Empfehlung

• Die Sicherheitsupdates vom November 2026 im regulären monatlichen Patch-Zyklus auf allen betroffenen Windows-Clients und -Servern installieren
• Betroffene Builds und KB-Nummern im MSRC-Advisory bestätigen, bevor das Ticket geschlossen wird
• Gemeinsam genutzte PCs und Systeme, auf denen Benutzerkonten kompromittiert sein könnten, priorisieren
• Windows-10-Systeme mit Extended Security Updates müssen dieses Update ebenfalls erhalten
• Den NVD-Eintrag überwachen, der zum Zeitpunkt der Erstellung noch in Analyse war

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-112982 msrc.microsoft.com
• CVE Record CVE-2026-112982 (CVE.org) www.cve.org
• Rapid7: Patch Tuesday November 2026 www.rapid7.com
• SANS ISC diary archive isc.sans.edu

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 16:48.