Microsoft Windows Desktop Window Manager: Erhöhung von Berechtigungen

Zusammenfassung

Eine nicht vertrauenswürdige Zeigerdereferenzierung im Desktop Window Manager (DWM) von Microsoft Windows erlaubt einem berechtigten lokalen Angreifer, seine Rechte zu erhöhen. Der Angreifer benötigt lokalen Zugriff und niedrige Berechtigungen, eine Benutzerinteraktion ist nicht erforderlich. Microsoft stuft die Schwachstelle als Important ein, und laut CNA-Eintrag und CISA-SSVC-Bewertung ist keine Ausnutzung bekannt.

Betroffen

• Microsoft Windows 10 Version 1607 und Windows Server 2016 (vor 10.0.14393.9688)
• Microsoft Windows 10 Version 1809 und Windows Server 2019 (vor 10.0.17763.9487)
• Microsoft Windows 10 Version 21H2 (vor 10.0.19044.7846)
• Microsoft Windows 10 Version 22H2 (vor 10.0.19045.7846)
• Microsoft Windows 11 Version 23H2 (vor 10.0.22631.7711)
• Microsoft Windows 11 Version 24H2 und 25H2 (korrigierter Build muss im MSRC-Advisory bestätigt werden)
• Microsoft Windows 11 Version 26H1 (vor 10.0.28000.3501)
• Microsoft Windows 11 Version 26H2 (vor 10.0.26300.9974)
• Microsoft Windows Server 2022 (vor 10.0.20348.5870)
• Unbekannt, ob die Produktliste vollständig ist.

Behoben in

• Das Microsoft-Sicherheitsupdate vom November 2026 (Patch Tuesday, 10. November 2026) für die betroffene Version installieren.
• Korrigierte Builds laut CNA-Eintrag: siehe Liste der betroffenen Versionen oben.
• Hinweis: Der korrigierte Build für Windows 11 24H2 ist in den Quellen uneinheitlich (26100.9974 vs. 26100.33822); im MSRC-Advisory bestätigen.

Umgehung

• Keine Workaround des Herstellers bekannt.
• Unbekannt, ob eine Massnahme zur Risikominderung existiert.

Ausnutzung

• Laut Rapid7 und Action1 nicht als aktiv ausgenutzt bekannt. CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
• Kein öffentlicher Proof-of-Concept bekannt.
• Qualys berichtet, dass die in dieser Version ausgenutzte Outlook-Schwachstelle eine andere CVE ist.
• Kontext: Eine frühere DWM-Schwachstelle zur Informationsoffenlegung (CVE-2026-20805) wurde ausgenutzt und Anfang 2026 in den CISA-KEV-Katalog aufgenommen.

Unsere Empfehlung

• Das kumulative Update vom November 2026 auf alle Windows-Arbeitsstationen und Server verteilen, Arbeitsstationen zuerst.
• Im MSRC-Advisory den exakten korrigierten Build pro Produkt prüfen, bevor man sich auf die Versionstabelle verlässt.
• Lokale Anmelderechte einschränken und nicht benötigte lokale Administratorkonten entfernen, um die Auswirkungen eines Angriffs zu begrenzen.
• Endgeräte nach Phishing- oder Malware-Vorfällen auf Versuche zur Rechteerweiterung überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-112988 msrc.microsoft.com
• CVE Record CVE-2026-112988 www.cve.org
• Strix AI: CVE-2026-112988 www.strix.ai
• The Record: DWM vulnerability added to CISA list therecord.media
• Rapid7: Patch Tuesday November 2026 www.rapid7.com
• Action1: Patch Tuesday November 2026 www.action1.com
• Qualys: Patch Tuesday November 2026 review blog.qualys.com
• AdminSignal: November 2026 Patch Tuesday priorities www.adminsignal.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 16:48.