PowerShell: Umgehung eines Sicherheitsmechanismus durch Codeinjektion

Zusammenfassung

Windows PowerShell in unterstützten Versionen von Windows 10, Windows 11 und Windows Server enthält eine Codeinjektionsschwachstelle (CWE-94), die es einem berechtigten Benutzer erlaubt, einen Sicherheitsmechanismus von PowerShell zu umgehen. Der Angreifer benötigt ein lokales Konto mit niedrigen Rechten, und die Angriffskomplexität ist hoch. Die Auswirkung beschränkt sich auf die Integrität (CVSS 4.7, Mittel). Microsoft hat das Problem mit den Updates des Patchdays vom November 2026 behoben.

Betroffen

• Windows 10 Version 1607 (10.0.14393.0 bis < 10.0.14393.9688)
• Windows 10 Version 1809 (10.0.17763.0 bis < 10.0.17763.9487)
• Windows 10 Version 21H2 (10.0.19044.0 bis < 10.0.19044.7846)
• Windows 10 Version 22H2 (10.0.19045.0 bis < 10.0.19045.7846)
• Windows 11 Version 23H2 (10.0.22631.0 bis < 10.0.22631.7711)
• Windows 11 Version 24H2 (10.0.26100.0 bis < 10.0.26100.9974)
• Windows 11 Version 25H2 (10.0.26200.0 bis < 10.0.26200.9974)
• Windows 11 Version 26H1 (10.0.28000.0 bis < 10.0.28000.3501)
• Windows 11 Version 26H2 (10.0.26300.0 bis < 10.0.26300.9974)
• Windows Server 2016, inklusive Server Core (10.0.14393.0 bis < 10.0.14393.9688)
• Windows Server 2019, inklusive Server Core (10.0.17763.0 bis < 10.0.17763.9487)
• Windows Server 2022 (10.0.20348.0 bis < 10.0.20348.5870)

Behoben in

• Sicherheitsupdate vom 10. November 2026 (Patchday) für die betroffenen Windows-Versionen.
• Die Build-Nummern stammen aus dem CVE-Eintrag; die Build-Nummer für Windows 10 21H2 sollte im MSRC Security Update Guide überprüft werden, da die Quellen voneinander abweichen.

Umgehung

• Unbekannt. Es wurde keine Workaround des Herstellers bestätigt.
• Die Einschränkung der PowerShell-Nutzung für lokale Benutzer kann als kompensierende Massnahme dienen, ist aber für diese CVE nicht von Microsoft bestätigt.

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn.
• CISA SSVC: Exploitation none, Automatable no.
• Rapid7 stuft die Ausnutzung als weniger wahrscheinlich ein.
• Kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Die Windows-Sicherheitsupdates vom November 2026 auf allen betroffenen Systemen installieren, zuerst auf Servern und Mehrbenutzersystemen wie Terminal- und Fileservern.
• Den Supportstatus von Windows 10 1809 und Server 2019 prüfen.
• Die installierte Build-Nummer im MSRC Security Update Guide überprüfen.
• In den regulären monatlichen Patchzyklus aufnehmen; keine Notfallmassnahme erforderlich.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-113815 msrc.microsoft.com
• CVE Record CVE-2026-113815 www.cve.org
• Rapid7 Patch Tuesday November 2026 www.rapid7.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 20:53.