Windows Installer: Double Free führt zu lokaler Rechteausweitung

Zusammenfassung

Ein Double Free in Windows Installer erlaubt es einem berechtigten, niedrig privilegierten lokalen Benutzer, seine Rechte auf dem betroffenen Windows-System zu erweitern. Der Angriff setzt lokalen Zugriff und ein gültiges Konto voraus, und der CVSS-Vektor stuft die Angriffskomplexität als hoch ein. Eine erfolgreiche Ausnutzung kann zur vollständigen Kontrolle über das System führen.

Betroffen

• Windows 10 Version 1607, 1809, 21H2, 22H2
• Windows 11 Version 23H2, 24H2, 25H2, 26H1, 26H2
• Windows Server 2016, 2019, 2022 (inklusive Server-Core-Installationen)
• Einträge für Windows Server 2025 sowie Windows 11 24H2/26H2: in MSRC prüfen

Behoben in

• Windows 10 1607: 10.0.14393.9688
• Windows 10 1809: 10.0.17763.9487
• Windows 10 21H2: 10.0.19044.7846
• Windows 10 22H2: 10.0.19045.7846
• Windows 11 23H2: 10.0.22631.7711
• Windows 11 24H2: 10.0.26100.9974
• Windows 11 25H2: 10.0.26200.9974
• Windows 11 26H1: 10.0.28000.3501
• Windows 11 26H2: 10.0.26300.9974
• Windows Server 2016: 10.0.14393.9688
• Windows Server 2019: 10.0.17763.9487
• Windows Server 2022: 10.0.20348.5870

Behoben im Sicherheitsupdate vom November 2026. KB-Nummern im Microsoft Security Update Guide prüfen.

Umgehung

Unbekannt. Die Quellen beschreiben keine Workaround-Massnahme.

Ausnutzung

• Ausnutzung: keine laut Microsofts CISA-SSVC-Bewertung
• Automatisierbar: nein
• Öffentlicher Proof of Concept: keiner gefunden
• In freier Wildbahn ausgenutzt: keine Hinweise gefunden

Unsere Empfehlung

• Das kumulative Sicherheitsupdate vom November 2026 auf allen betroffenen Systemen installieren, mit Priorität auf Servern und Mehrbenutzersystemen wie Terminalservern und gemeinsam genutzten Arbeitsstationen
• Die Installation von MSI-Paketen einschränken und Benutzer auf Standardkonten (ohne Administratorrechte) belassen
• Auf unerwartete Prozessstarts mit SYSTEM-Rechten auf Mehrbenutzersystemen überwachen
• Mehrere weitere Rechteausweitungs-Schwachstellen in Windows Installer wurden am selben Tag veröffentlicht, daher deckt ein Update sie gemeinsam ab

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE.org CVE Record CVE-2026-119399 www.cve.org
• Microsoft Security Update Guide CVE-2026-119399 msrc.microsoft.com
• Rapid7 Patch Tuesday November 2026 summary www.rapid7.com
• EUVD-2026-119399 (Vulners) vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 08:51.