Windows Hyper-V: Use-after-free ermöglicht lokale Rechteerweiterung

Zusammenfassung

Eine Use-after-free-Schwachstelle in Windows Hyper-V erlaubt einem berechtigten lokalen Angreifer, seine Rechte zu erweitern. Für die Ausnutzung braucht es einen lokalen Zugriff, etwa über ein kompromittiertes Benutzerkonto oder Malware auf dem System, und die Angriffskomplexität ist hoch. Hyper-V-Hosts sind am stärksten gefährdet, da eine Kompromittierung des Hosts alle darauf laufenden virtuellen Maschinen betrifft.

Betroffen

• Windows 10 Version 1809, 21H2 und 22H2
• Windows 11 Version 23H2, 24H2, 25H2, 26H1 und 26H2
• Windows Server 2019 (inklusive Server Core), 2022 und 2025 (inklusive Server Core)
• Windows 10 1607 und Windows Server 2016: Unbekannt.

Behoben in

• Windows 10 1809 und Windows Server 2019: Build 10.0.17763.9487 (KB5131085)
• Windows 10 21H2: Build 10.0.19044.7846 (KB5131096)
• Windows 10 22H2: Build 10.0.19045.7846 (KB5131096)
• Windows 11 23H2: Build 10.0.22631.7711 (KB5131087)
• Windows 11 24H2, 25H2 und 26H2: Builds 10.0.26100.9974, 10.0.26200.9974 und 10.0.26300.9974 (KB5132061)
• Windows 11 26H1: Build 10.0.28000.3501 (KB5132059)
• Windows Server 2022: Build 10.0.20348.5870 (KB5131090)
• Windows Server 2025: Build 10.0.26100.33822 (KB5131080)
• Fix-Versionen aus Sekundärquellen; vor dem Rollout auf MSRC prüfen.

Umgehung

Unbekannt. Es ist kein vom Hersteller dokumentierter Workaround bekannt. Übergangsmassnahme: Lokale interaktive Anmeldung auf Hyper-V-Hosts und auf Workstations mit aktiviertem Hyper-V einschränken.

Ausnutzung

• Eine Ausnutzung in freier Wildbahn ist nicht bekannt.
• Microsoft stuft die Reife des Exploit-Codes als Unproven (E:U) ein.
• Es wurde kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Das November-2026-Cumulative-Update auf allen Windows-Systemen mit Hyper-V installieren, zuerst auf den Hyper-V-Hosts.
• Auf jedem Gerät prüfen, ob Hyper-V aktiviert ist, inklusive Admin- und Entwickler-Workstations.
• Lokale Konten und interaktive Anmeldung auf Hyper-V-Hosts einschränken.
• Auf diesen Systemen auf ungewöhnliche lokale Rechteänderungen achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Response Center: CVE-2026-113860 msrc.microsoft.com
• CVE Record CVE-2026-113860 www.cve.org
• KB5132059: Windows 11 26H1 security update support.microsoft.com
• IT-Connect: Patch Tuesday November 2026 www.it-connect.tech
• BleepingComputer: KB5132061 and KB5131087 cumulative updates www.bleepingcomputer.com
• Qualys: Patch Tuesday November 2026 review blog.qualys.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 08:58.