Microsoft Windows Print Spooler: Remote Code Execution durch Use after Free

Zusammenfassung

Ein Use-after-Free-Fehler in den Windows Print Spooler Components erlaubt einem nicht autorisierten Angreifer, über ein benachbartes Netzwerk Code auszuführen. Die CVE-Meldung und Microsoft bewerten die Schwachstelle mit CVSS 7.5 (AV:A/AC:H/PR:N/UI:N), es ist also keine Authentifizierung nötig, der Angreifer muss sich aber im lokalen Netzwerk befinden und eine Race Condition gewinnen. Der Print Spooler läuft standardmässig mit SYSTEM-Rechten und ist auf den meisten Windows-Systemen aktiviert, auch auf solchen ohne Drucker.

Betroffen

• Windows 10 Version 1607 und Windows Server 2016 (inklusive Server Core): vor 10.0.14393.9688
• Windows 10 Version 1809 und Windows Server 2019 (inklusive Server Core): vor 10.0.17763.9487
• Windows 10 Version 21H2: vor 10.0.19044.7846
• Windows 10 Version 22H2: vor 10.0.19045.7846
• Windows 11 Version 23H2: vor 10.0.22631.7711
• Windows 11 Version 24H2, 25H2 und 26H2: vor 10.0.26100.9974 (24H2), 10.0.26200.9974 (25H2), 10.0.26300.9974 (26H2)
• Windows 11 Version 26H1: vor 10.0.28000.3501
• Windows Server 2022: vor 10.0.20348.5870
• Windows Server 2025: Unbekannt.

Behoben in

• Sicherheitsupdate im kumulativen Update vom November 2026 (Patch Tuesday, 10. Nov. 2026) für die oben aufgeführten betroffenen Windows-Versionen.
• Die genaue KB-Nummer pro Produkt im MSRC Security Update Guide bestätigen.

Umgehung

• In den konsultierten Quellen wurde kein vom Hersteller dokumentierter Workaround gefunden. Die Abschnitte Mitigations und Workarounds im MSRC-Advisory prüfen.
• Allgemeine Massnahme, nicht aus einer Herstellerquelle: Den Print Spooler-Dienst auf Systemen deaktivieren, die keinen Druck benötigen. Zuvor testen, da das Drucken dadurch unterbrochen wird.
• Den Zugriff auf den Print Spooler aus dem LAN einschränken, zum Beispiel mit Firewall-Regeln auf dem Host.

Ausnutzung

• Action1 gibt an, dass die Schwachstelle nicht als aktiv ausgenutzt bekannt ist, vor dem Fix nicht öffentlich bekannt gemacht wurde und kein öffentlicher Proof-of-Concept-Exploit bekannt ist.
• Der MSRC-Vektor verwendet E:U (Exploit-Reifegrad Unproven).
• Talos meldet, dass eine Schwachstelle aus dem Patch Tuesday vom November 2026 in freier Wildbahn ausgenutzt wird, ohne sie zu nennen. Ob es sich um CVE-2026-113752 handelt, ist nicht bestätigt.
• Die CVE ist sehr neu, der Status kann sich daher ändern.

Unsere Empfehlung

• Das Sicherheitsupdate vom November 2026 auf allen betroffenen Windows-Endgeräten und Servern installieren, zuerst auf Druckservern und Geräten in gemeinsam genutzten Netzwerken.
• Den Print Spooler auf Systemen ohne Druckbedarf nach einem Test deaktivieren.
• Den Netzwerkzugriff auf den Print Spooler einschränken, zum Beispiel mit Host-Firewall-Regeln und Netzwerksegmentierung.
• Das MSRC-Kennzeichen Exploited und die Herstellermeldungen auf Änderungen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-113752 msrc.microsoft.com
• CVE Record CVE-2026-113752 www.cve.org
• Action1: Patch Tuesday November 2026 www.action1.com
• Cisco Talos: Microsoft Patch Tuesday November 2026 blog.talosintelligence.com
• CrowdStrike: Patch Tuesday analysis November 2026 www.crowdstrike.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 05:55.