Windows Active Directory Domain Services: Erhöhung von Berechtigungen

Zusammenfassung

Active Directory Domain Services (AD DS) von Microsoft auf Windows-Domänencontrollern enthält eine Schwachstelle bei der Autorisierung (CWE-863), die einem authentifizierten Angreifer über das Netzwerk eine Erhöhung von Berechtigungen erlaubt. Laut Sekundäranalyse erfordert die Ausnutzung das Gewinnen einer Race Condition. Ein erfolgreicher Angriff könnte zu SYSTEM-Rechten auf einem Domänencontroller und damit zur vollständigen Kontrolle über die Windows-Domäne führen. Der Angreifer benötigt Netzwerkzugriff auf einen Domänencontroller und ein beliebiges gültiges Domänenkonto; die Schwachstelle ist nicht aus dem Internet erreichbar.

Betroffen

• Windows 10 Version 1607 (10.0.14393.0 bis vor 10.0.14393.9688)
• Windows 10 Version 1809 (10.0.17763.0 bis vor 10.0.17763.9487)
• Windows 10 Version 21H2 (10.0.19044.0 bis vor 10.0.19044.7846)
• Windows 10 Version 22H2 (10.0.19045.0 bis vor 10.0.19045.7846)
• Windows 11 Version 23H2 (10.0.22631.0 bis vor 10.0.22631.7711)
• Windows 11 Version 24H2 (10.0.26100.0 bis vor 10.0.26100.9974)
• Windows 11 Version 25H2 (10.0.26200.0 bis vor 10.0.26200.9974)
• Windows 11 Version 26H1 (10.0.28000.0 bis vor 10.0.28000.3501)
• Windows 11 Version 26H2 (10.0.26300.0 bis vor 10.0.26300.9974)
• Windows Server 2016 inkl. Server Core (10.0.14393.0 bis vor 10.0.14393.9688)
• Windows Server 2019 inkl. Server Core (10.0.17763.0 bis vor 10.0.17763.9487)
• Windows Server 2022 (10.0.20348.0 bis vor 10.0.20348.5870)
• Hinweis: Die Einträge für Windows Server sind im CVE-Eintrag aufgeführt, konnten aber nicht in der MSRC-Versionstabelle verifiziert werden.

Behoben in

• Das Sicherheitsupdate von November 2026 (Patch Tuesday, 10. November 2026) für jedes betroffene Betriebssystem installieren; das Update wird von Sekundärquellen mit KB5131077 angegeben.
• Korrigierte Builds: siehe die betroffenen Bereiche oben (erster Build nach dem Wert 'vor').
• KB und korrigierten Build pro Betriebssystem vor dem Rollout auf der MSRC-Seite prüfen.

Umgehung

Unbekannt.

Ausnutzung

• Vor Veröffentlichung des Patches nicht öffentlich bekannt gemacht.
• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; nicht im CISA-KEV-Katalog gelistet.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Kein öffentlicher Proof-of-Concept gefunden.
• Die Einschätzung von Microsoft zur Ausnutzungswahrscheinlichkeit ist in den Quellen unklar; eine Quelle bewertet sie als 'More likely'.

Unsere Empfehlung

• Zuerst alle Domänencontroller patchen, danach weitere Windows-Systeme mit betroffenen Builds.
• Inventar prüfen auf Windows-10- und Windows-11-Clients sowie Windows-Server-Domänencontroller mit betroffenen Builds.
• Anmeldungen an Domänencontrollern einschränken und privilegierte Konten überprüfen.
• Domänencontroller bis zum Patch auf ungewöhnliche Berechtigungsänderungen und Authentifizierungsereignisse überwachen.
• Hinweis zur Abweichung: Microsoft stuft die Schwachstelle als Critical ein, der CVSS-3.1-Wert beträgt 7.5 (High).

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Security Update Guide - MSRC CVE-2026-118148 msrc.microsoft.com
• CVE Record CVE-2026-118148 (CVE.org) www.cve.org
• Microsoft hotpatch baseline November 2026 (support.microsoft.com) support.microsoft.com
• CrowdStrike Patch Tuesday analysis November 2026 www.crowdstrike.com
• Trinetri Patch Tuesday November 2026 trinetriops.com
• CSO Online: November 2026 Patch Tuesday www.csoonline.com
• Rescana: Patch Tuesday November 2026 www.rescana.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 05:37.