Windows Message Queuing: Use-after-free ermöglicht lokale Rechteausweitung

Zusammenfassung

Windows Message Queuing (MSMQ), eine optionale Windows-Komponente, enthält eine Use-after-free-Schwachstelle, mit der ein berechtigter lokaler Benutzer seine Rechte erweitern kann. Ein Angreifer benötigt ein gültiges lokales Konto oder bereits eine Codeausführung auf dem System; ein Angriff aus dem Netzwerk ist nicht möglich. Eine erfolgreiche Ausnutzung könnte zur vollständigen Kontrolle über das betroffene System führen, weshalb das Risiko auf Servern und Mehrbenutzersystemen mit installiertem MSMQ am höchsten ist.

Betroffen

• Windows 10 Version 1607, 1809, 21H2 und 22H2 (Builds unterhalb 10.0.14393.9688, 10.0.17763.9487, 10.0.19044.7846 bzw. 10.0.19045.7846)
• Windows 11 Version 23H2, 24H2, 25H2, 26H1 und 26H2 (Builds gemäss CVE-Eintrag; 24H2, 25H2 und 26H1 sind durch die zweite Quelle nicht bestätigt)
• Windows Server 2016, 2019 und 2022, einschliesslich Server-Core-Installationen (Builds unterhalb 10.0.14393.9688, 10.0.17763.9487 bzw. 10.0.20348.5870)
• Windows Server 2025 wird nur von einem Drittanbieter-Aggregator aufgeführt; auf MSRC prüfen
• Die vollständige Build-Liste muss auf der MSRC-Sicherheitsmitteilung bestätigt werden; der Text des CVE-Eintrags wurde abgeschnitten

Behoben in

• Behoben in den Sicherheitsupdates vom November 2026 (Builds gemäss CVE-Eintrag unter Affected)
• Die konkrete KB-Nummer konnte nicht bestätigt werden; KB und finale Build-Liste in der MSRC-Sicherheitsmitteilung prüfen

Umgehung

• Kein Herstellerworkaround gefunden; die MSRC-Seite konnte nicht geprüft werden
• Wird MSMQ nicht benötigt, die Komponente über Windows-Features aktivieren oder deaktivieren (Microsoft Message Queue (MSMQ) Server deaktivieren) oder den MSMQ-Dienst beenden und deaktivieren; MSMQ-abhängige Anwendungen funktionieren danach nicht mehr
• Lokale Anmeldungen einschränken und Benutzer mit Standardbenutzerrechten betreiben, um das Risiko zu senken

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn, öffentlichen Proof of Concept oder Aufnahme im CISA-KEV-Katalog gefunden; dies ist ein Fehlen von Befunden, keine bestätigte Abwesenheit
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total
• CVSS-Temporalvektor E:U (Reifegrad des Exploit-Codes unbewiesen)

Unsere Empfehlung

• Hosts mit installiertem MSMQ identifizieren, zuerst Server und gemeinsam genutzte Mehrbenutzersysteme
• Das kumulative Sicherheitsupdate vom November 2026 installieren, nachdem KB und Build auf der MSRC-Seite bestätigt wurden
• MSMQ auf Systemen deaktivieren, auf denen es nicht benötigt wird
• Den NVD-Eintrag und den CISA-KEV-Katalog erneut prüfen, sobald die Analyse veröffentlicht ist

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide: CVE-2026-118125 msrc.microsoft.com
• CVE.org record CVE-2026-118125 www.cve.org
• Strix.ai: CVE-2026-118125 (affected builds, third party) www.strix.ai
• Senserva: KB5131090 (third party, does not name this CVE) senserva.com
• Windows News: CVE-2026-33838 MSMQ privilege escalation and optional feature risks windowsnews.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 08:56.