Windows Kernel Transaction Manager: Use after free ermöglicht Rechteausweitung

Zusammenfassung

Ein Use-after-free-Fehler (CWE-416) im Windows Kernel Transaction Manager (KTM) erlaubt einem berechtigten lokalen Angreifer, seine Rechte zu erweitern. Die Ausnutzung setzt ein gültiges Konto mit niedrigen Rechten auf dem System voraus, und die Angriffskomplexität ist hoch. Der Fehler ist nicht aus der Ferne ausnutzbar. Gemäss dem CNA-Eintrag könnte ein Angreifer mit einem bestehenden Zugriff SYSTEM-Rechte erlangen.

Betroffen

• Windows 10 Version 1607 und Windows Server 2016 (inklusive Server Core): vor 10.0.14393.9688
• Windows 10 Version 1809 und Windows Server 2019 (inklusive Server Core): vor 10.0.17763.9487
• Windows 10 Version 21H2: vor 10.0.19044.7846
• Windows 10 Version 22H2: vor 10.0.19045.7846
• Windows 11 Version 23H2: vor 10.0.22631.7711
• Windows 11 Version 24H2: vor 10.0.26100.9974
• Windows 11 Version 25H2: vor 10.0.26200.9974
• Windows 11 Version 26H1: vor 10.0.28000.3501
• Windows 11 Version 26H2: vor 10.0.26300.9974
• Windows Server 2022: vor 10.0.20348.5870

Behoben in

• Sicherheitsupdate aus dem Patchday von Microsoft im November 2026, das die oben aufgeführten Builds auf die korrigierten Versionen bringt.
• KB-Nummern pro Build: Unbekannt.

Umgehung

Unbekannt. Es wurde kein vom Hersteller veröffentlichter Workaround gefunden.

Ausnutzung

• Gemäss VulDB ist kein öffentlicher Exploit bekannt.
• CISA-SSVC-Bewertung: keine Ausnutzung, nicht automatisierbar, totale technische Auswirkung.
• Gemäss einem Drittanbieter-Spiegel nicht im CISA-KEV-Katalog gelistet (nicht gegen den CISA-Katalog bestätigt).
• Bisher keine Ausnutzung in freier Wildbahn gefunden.

Unsere Empfehlung

• Das Windows-Sicherheitsupdate vom November 2026 auf allen betroffenen Systemen installieren; Priorität haben Terminalserver mit mehreren Benutzern, gemeinsam genutzte Arbeitsstationen und Systeme, auf denen nicht vertrauenswürdige Benutzer oder Software laufen.
• Die Build-Nummern älterer Versionen (Windows 10 1607, 1809, 21H2) auf Supportstatus und ESU-Registrierung prüfen.
• Lokale Konten prüfen und unnötige Berechtigungen mit niedrigen Rechten einschränken.
• Auf ungewöhnliche Rechteänderungen achten und die CISA-KEV-Liste sowie Exploit-Quellen in den kommenden Tagen erneut prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE.org record CVE-2026-119397 www.cve.org
• Microsoft Security Update Guide CVE-2026-119397 msrc.microsoft.com
• VulDB CVE-2026-119397 vuldb.com
• BleepingComputer: November 2026 Patch Tuesday www.bleepingcomputer.com
• Strix mirror CVE-2026-119397 (third-party) www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 08:48.