Windows AppX Deployment Service: Rechteausweitung durch fehlerhafte Berechtigungsprüfung

Zusammenfassung

Eine fehlerhafte Berechtigungsprüfung im Windows AppX Deployment Service erlaubt einem lokalen Benutzer mit niedrigen Rechten, höhere Rechte auf dem betroffenen System zu erlangen. Microsoft stuft die Schwachstelle als wichtig ein, mit CVSS 7.8 (AV:L/AC:L/PR:L). Ein Angreifer benötigt ein gültiges lokales Konto und kann die Lücke nicht aus der Ferne ausnutzen, daher ist das Risiko vor allem nach einer initialen Kompromittierung relevant, etwa durch Phishing oder Malware.

Betroffen

• Windows 10 Version 21H2: Builds 10.0.19044.0 bis vor 10.0.19044.7846
• Windows 10 Version 22H2: Builds 10.0.19045.0 bis vor 10.0.19045.7846
• Windows 11 Version 23H2: Builds 10.0.22631.0 bis vor 10.0.22631.7711
• Windows Server 2022: Builds 10.0.20348.0 bis vor 10.0.20348.5870 (fixer Build aus einer Drittquelle, nicht durch die Herstellerseite verifiziert)

Behoben in

• Das kumulative Update vom November 2026 von Microsoft für die betroffenen Versionen installieren.
• Die oben genannten Builds sind laut CVE-Eintrag die ersten korrigierten Builds. Die genauen KB-Nummern sind im MSRC-Advisory zu prüfen.

Umgehung

Unbekannt.

Ausnutzung

• Der temporale CVSS-Vektor von Microsoft setzt die Reife des Exploit-Codes bei Veröffentlichung auf 'Unproven' (E:U).
• Tenable führt die CVE mit 'Exploitation More Likely'.
• Talos meldet, dass eine Schwachstelle aus dem Release vom November 2026 aktiv ausgenutzt wird, nennt aber nicht, dass es sich um diese CVE handelt. Eine Ausnutzung dieser CVE gilt als nicht bestätigt.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Das kumulative Update vom November 2026 im Rahmen des regulären Patch-Tuesday-Zyklus auf Arbeitsstationen und Servern installieren.
• Gemeinsam genutzte Systeme mit mehreren Benutzern, RDS-/Terminalserver und Systeme mit lokalen Benutzerkonten priorisieren.
• Prüfen, ob Windows 10 21H2 und 22H2 Systeme noch gewartet werden oder für ESU registriert sind, um den Fix zu erhalten.
• Auf Anzeichen lokaler Rechteausweitung achten und den Ausnutzungsstatus dieser CVE erneut prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide (MSRC advisory) msrc.microsoft.com
• CVE.org record CVE-2026-116714 www.cve.org
• Tenable: Microsoft November 2026 Patch Tuesday www.tenable.com
• Talos: Microsoft Patch Tuesday for November 2026 blog.talosintelligence.com
• Qualys: Microsoft Patch Tuesday November 2026 review blog.qualys.com
• Third-party CVE aggregator (Server 2022 build, unverified) www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 04:03.