Windows COM+ Event System Service: Use-after-free zur Rechteerweiterung

Zusammenfassung

Ein Use-after-free-Fehler im Windows COM+ Event System Service erlaubt einem berechtigten lokalen Angreifer, seine Rechte zu erweitern. Der Angreifer benötigt eine bestehende lokale Sitzung mit niedrigen Rechten, die Angriffskomplexität ist hoch und es ist keine Benutzerinteraktion nötig. Bei erfolgreicher Ausnutzung wären Vertraulichkeit, Integrität und Verfügbarkeit des betroffenen Systems vollständig kompromittiert.

Betroffen

• Windows 10 Version 1607 (10.0.14393.0 bis vor 10.0.14393.9688)
• Windows 10 Version 1809 (10.0.17763.0 bis vor 10.0.17763.9487)
• Windows 10 Version 21H2 (10.0.19044.0 bis vor 10.0.19044.7846)
• Windows 10 Version 22H2 (10.0.19045.0 bis vor 10.0.19045.7846)
• Windows 11 Version 23H2 (10.0.22631.0 bis vor 10.0.22631.7711)
• Windows 11 Version 24H2 (10.0.26100.0 bis vor 10.0.26100.9974)
• Windows 11 Version 25H2 (10.0.26200.0 bis vor 10.0.26200.9974)
• Windows 11 Version 26H1 (10.0.28000.0 bis vor 10.0.28000.3501)
• Windows 11 Version 26H2 (10.0.26300.0 bis vor 10.0.26300.9974)
• Windows Server 2016 inkl. Server Core (10.0.14393.0 bis vor 10.0.14393.9688)
• Windows Server 2019 inkl. Server Core (10.0.17763.0 bis vor 10.0.17763.9487)
• Windows Server 2022 (10.0.20348.0 bis vor 10.0.20348.5870)

Behoben in

• Das Microsoft-Sicherheitsupdate für die betroffene Build-Version installieren (KB-Nummern und Veröffentlichung siehe MSRC-Advisory).
• Korrigierte Builds laut CVE-Eintrag: Windows 10 1607: 10.0.14393.9688; 1809: 10.0.17763.9487; 21H2: 10.0.19044.7846; 22H2: 10.0.19045.7846; 11 23H2: 10.0.22631.7711; 24H2: 10.0.26100.9974; 25H2 und 26H2: 10.0.26200.9974 und 10.0.26300.9974; 26H1: 10.0.28000.3501; Server 2016: 10.0.14393.9688; Server 2019: 10.0.17763.9487; Server 2022: 10.0.20348.5870.

Umgehung

Unbekannt. Es wurde kein Workaround oder keine Gegenmassnahme des Herstellers gefunden.

Ausnutzung

• Unbekannt für öffentlich verfügbaren Exploit-Code: Die CVSS-Angaben von Microsoft verwenden die Exploit-Reife E:U (Unproven).
• CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
• Es wurde keine Meldung über Ausnutzung in freier Wildbahn oder einen öffentlichen Proof of Concept gefunden.

Unsere Empfehlung

• Betroffene Windows-10-, Windows-11- und Windows-Server-Systeme inventarisieren, insbesondere Terminalserver und Mehrbenutzersysteme.
• Das Cumulative Update vom November 2026 installieren und die Build-Nummern anschliessend überprüfen.
• Prüfen, ob Windows-10-Systeme der Versionen 21H2 und 22H2 noch Updates erhalten; nicht unterstützte Systeme erhalten diese Korrektur nicht.
• Lokale interaktive Anmeldung bis zur Behebung auf vertrauenswürdige Benutzer beschränken.
• NVD-Eintrag und CISA KEV auf Änderungen prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-113769 msrc.microsoft.com
• CVE.org record CVE-2026-113769 www.cve.org
• Strix CVE summary (unverified against MSRC) www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 09:02.