Microsoft Windows Smart Card: Lokale Rechteerweiterung durch nicht initialisierte Ressource

Zusammenfassung

Eine Schwachstelle in der Windows-Smart-Card-Komponente verwendet eine nicht initialisierte Ressource, wodurch ein berechtigter Angreifer seine Rechte erweitern kann. Der Angriff erfordert physischen Zugriff auf das betroffene System und niedrige Berechtigungen, etwa ein Standard-Benutzerkonto. Das Hauptrisiko liegt bei einem Benutzer oder Insider mit kurzem physischem Zugriff auf einen angemeldeten oder nicht gesperrten Rechner, nicht bei einer Ausnutzung über das Internet.

Betroffen

• Windows 10 Version 1607 und Windows Server 2016 (inklusive Server Core): vor 10.0.14393.9688
• Windows 10 Version 1809 und Windows Server 2019 (inklusive Server Core): vor 10.0.17763.9487
• Windows 10 Version 21H2: vor 10.0.19044.7846
• Windows 10 Version 22H2: vor 10.0.19045.7846
• Windows 11 Version 23H2: vor 10.0.22631.7711
• Windows 11 Version 24H2: vor 10.0.26100.9974
• Windows 11 Version 25H2: vor 10.0.26200.9974
• Windows 11 Version 26H1: vor 10.0.28000.3501
• Windows 11 Version 26H2: vor 10.0.26300.9974
• Windows Server 2022: vor 10.0.20348.5870

Die Build-Nummern stammen aus dem CVE-Eintrag und sind vorläufig, bis sie im MSRC Security Update Guide bestätigt sind.

Behoben in

Das kumulative Windows-Update vom November 2026 für jede betroffene Windows-Version installieren. KB-Nummern: Unbekannt. Die genaue Aktualisierung pro Build ist im MSRC Security Update Guide zu prüfen.

Umgehung

Unbekannt. Der Hersteller dokumentiert keine Workaround-Massnahme. Risiko reduzieren durch Kontrolle des physischen Zugangs zu Endgeräten, Bildschirmsperren und Einschränkung der Nutzung von gemeinsam genutzten oder unbeaufsichtigten Smart-Card-Arbeitsplätzen.

Ausnutzung

• CISA SSVC: Exploitation none, automatisierbar nein, technische Auswirkung total.
• Keine bestätigte Ausnutzung in freier Wildbahn bekannt.
• Kein öffentlicher Proof of Concept gefunden; die CVE ist sehr neu.
• CVSS 6.6 (v3.1), AV:P/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H.

Unsere Empfehlung

• Das kumulative Windows-Update vom November 2026 auf allen aufgeführten Systemen installieren; Priorität haben gemeinsam genutzte PCs, Empfangs- und Kiosk-Geräte sowie Laptops, die das Büro verlassen.
• Vor der Planung der Verteilung die betroffenen Build- und KB-Nummern im MSRC Security Update Guide prüfen.
• Bildschirmsperren durchsetzen und den physischen Zugang zu Endgeräten einschränken, insbesondere zu solchen mit Smart Cards.
• Prüfen, welche Konten auf diesen Systemen nur niedrige Berechtigungen besitzen, und ungewöhnliche Rechteänderungen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-119383 msrc.microsoft.com
• CVE Record: CVE-2026-119383 www.cve.org
• Strix.ai: CVE-2026-119383 www.strix.ai
• Senserva KB summary 5132059 senserva.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 11:44.