Microsoft Windows Remote Access API: Unzureichende Zugriffskontrolle ermöglicht Manipulation

Zusammenfassung

Eine fehlende Autorisierungsprüfung (CWE-862) in der Windows Remote Access API erlaubt einem berechtigten lokalen Benutzer, Daten dieser Komponente zu manipulieren. Für die Ausnutzung ist ein bestehender Login oder ein Zugriff auf das System nötig, zudem ist der Angriff komplex. Der CVSS-v3.1-Basiswert beträgt 6.5 (Mittel), mit hoher Auswirkung auf Vertraulichkeit und Integrität. Der Angriffsvektor ist lokal, daher ist keine Ausnutzung über das Netzwerk zu erwarten.

Betroffen

• Windows 10 Version 1607 (Builds vor 10.0.14393.9688)
• Windows 10 Version 1809 (Builds vor 10.0.17763.9487)
• Windows 10 Version 21H2, 22H2 (betroffene Builds laut CVE-Eintrag vor 10.0.19044.7846 bzw. 10.0.19045.7846; die fixierten Builds sind auf der Herstellerseite nicht bestätigt)
• Windows 11 Version 23H2 (Builds vor 10.0.22631.7711)
• Windows 11 Version 24H2, 25H2, 26H1, 26H2 (fixierte Builds nicht bestätigt; die Quellen widersprechen sich)
• Windows Server 2016 und 2019, einschliesslich Server Core (Builds vor 10.0.14393.9688 bzw. 10.0.17763.9487)
• Windows Server 2022 (fixierter Build nicht bestätigt; eine Drittquelle nennt 10.0.20348.5870)

Behoben in

• Windows 10 1607 und Windows Server 2016: 10.0.14393.9688
• Windows 10 1809 und Windows Server 2019: 10.0.17763.9487
• Windows 11 23H2: 10.0.22631.7711
• Andere Versionen: Unbekannt. Vor der Verteilung im MSRC-Advisory prüfen.

Umgehung

Unbekannt.

Ausnutzung

• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• CVSS-Ausnutzungsreife: Unproven.
• Kein öffentlicher Proof-of-Concept gefunden. Der CISA-KEV-Katalog wurde nicht geprüft.

Unsere Empfehlung

• Das Sicherheitsupdate vom November 2026 auf betroffenen Windows-Systemen installieren; priorisiert werden Windows Server 2016 und 2019 sowie Mehrbenutzersysteme wie Terminal- oder RDS-Server.
• Vor der Verteilung die fixierte Build-Nummer jedes Systems im MSRC-Advisory bestätigen, da sich die Quellen bei einigen Builds widersprechen.
• Lokale Anmelderechte auf gemeinsam genutzten Systemen einschränken und auf unerwartete Änderungen an den Einstellungen für den Fernzugriff achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Response Center: CVE-2026-119396 msrc.microsoft.com
• CVE.org record CVE-2026-119396 www.cve.org
• Strix: CVE-2026-119396 www.strix.ai
• Senserva: KB5131085 (third-party summary) senserva.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 12:08.