Windows Hyper-V: Rechteausweitung über TOCTOU-Race-Condition

Zusammenfassung

Eine Time-of-Check-Time-of-Use-Race-Condition in Windows Hyper-V erlaubt einem berechtigten lokalen Angreifer, seine Rechte zu erweitern. Der Angreifer muss bereits einen Zugriff auf eine Gast-VM oder das lokale System haben und eine Race Condition gewinnen. Hyper-V ist nicht aus dem Internet erreichbar, das Risiko ist aber relevant für Hosts mit geteilten oder nicht vertrauenswürdigen Gast-VMs und für Endpunkte mit aktivierter VBS, Windows Sandbox oder WSL2.

Betroffen

• Windows 10 Version 21H2 vor 10.0.19044.7846
• Windows 10 Version 22H2 vor 10.0.19045.7846
• Windows 11 Version 23H2 vor 10.0.22631.7711
• Windows 11 Version 24H2 vor 10.0.26100.9974
• Windows 11 Version 25H2 vor 10.0.26200.9974
• Windows 11 Version 26H1 vor 10.0.28000.3501
• Windows 11 Version 26H2 vor 10.0.26300.9974
• Windows Server 2022 vor 10.0.20348.5870
• Windows Server 2025 (inklusive Server Core) vor 10.0.26100.33822

Die Recherchenotizen bestätigen nicht alle dieser Einträge. Die Tabelle der betroffenen Software auf MSRC prüfen.

Behoben in

• Das Microsoft-Sicherheitsupdate vom November 2026 installieren. Die korrigierten Builds sind oben aufgeführt.
• Eine separate KB-Nummer für diese CVE ist nicht bestätigt.

Umgehung

• Unbekannt. Microsoft nennt keine Gegenmassnahme, die bestätigt werden konnte. Zuerst patchen.
• Falls das Patchen verzögert wird: Zugriff auf Gast-VMs einschränken, nicht vertrauenswürdige Workloads von sensiblen trennen und Hyper-V-Hosts überwachen (allgemeine Empfehlung, nicht von Microsoft).

Ausnutzung

• Einschätzung von Microsoft: Exploitation Less Likely; die Ausnutzung erfordert das Gewinnen einer Race Condition.
• CISA SSVC: Exploitation none, nicht automatisierbar, totale technische Auswirkung.
• Talos und Qualys melden, dass eine Schwachstelle dieses Releases aktiv ausgenutzt wird; für CVE-2026-113865 ist dies nicht bestätigt.
• Öffentlicher Proof of Concept: unbekannt.

Unsere Empfehlung

• Zuerst Hyper-V-Hosts patchen, danach Windows-Endpunkte mit aktivierter VBS, Windows Sandbox oder WSL2.
• Nach dem Patchen die installierten Build-Nummern überprüfen.
• Prüfen, welche Gast-VMs mit Auftragnehmern oder anderen Mandanten geteilt werden, und den Zugriff einschränken.
• Hyper-V-Hosts auf ungewöhnliche Aktivitäten überwachen.
• Den NVD-Score erneut prüfen, da der Status zum Zeitpunkt der Recherche Awaiting Analysis war.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Response Center: CVE-2026-113865 msrc.microsoft.com
• CVE.org record CVE-2026-113865 www.cve.org
• Cisco Talos: Microsoft Patch Tuesday November 2026 blog.talosintelligence.com
• Qualys: Microsoft Patch Tuesday November 2026 review blog.qualys.com
• CrowdStrike: Patch Tuesday analysis November 2026 www.crowdstrike.com
• Strix: CVE-2026-113865 www.strix.ai
• Action1: Patch Tuesday November 2026 www.action1.com
• Senserva: KB5132061 senserva.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 04:06.