Windows Remote Access API: Lokale Rechteerweiterung über unsicheren Suchpfad

Zusammenfassung

Die Windows Remote Access API, die Schnittstelle hinter Windows-Fernzugriffsfunktionen wie VPN und RAS/RRAS, enthält eine Schwachstelle durch einen unsicheren Suchpfad (CWE-426). Ein berechtigter lokaler Angreifer mit einem Konto mit niedrigen Rechten kann damit seine Rechte auf dem betroffenen System erhöhen. Dafür ist keine Benutzerinteraktion nötig, und der CVSS-Basiswert beträgt 7.8 (Hoch). Die Schwachstelle ist nicht direkt aus dem Internet ausnutzbar.

Betroffen

• Windows 10 Version 1607: 10.0.14393.0 bis vor 10.0.14393.9688
• Windows 10 Version 1809: 10.0.17763.0 bis vor 10.0.17763.9487
• Windows 10 Version 21H2: 10.0.19044.0 bis vor 10.0.19044.7846
• Windows 10 Version 22H2: 10.0.19045.0 bis vor 10.0.19045.7846
• Windows 11 Version 23H2: 10.0.22631.0 bis vor 10.0.22631.7711
• Windows 11 Version 24H2: 10.0.26100.0 bis vor 10.0.26100.9974
• Windows 11 Version 25H2: 10.0.26200.0 bis vor 10.0.26200.9974
• Windows 11 Version 26H1: 10.0.28000.0 bis vor 10.0.28000.3501
• Windows 11 Version 26H2: 10.0.26300.0 bis vor 10.0.26300.9974
• Windows Server 2016 (inkl. Server Core): 10.0.14393.0 bis vor 10.0.14393.9688
• Windows Server 2019 (inkl. Server Core): 10.0.17763.0 bis vor 10.0.17763.9487
• Windows Server 2022: 10.0.20348.0 bis vor 10.0.20348.5870
• Hinweis: Drittquellen nennen weitere Builds, die vom CVE-Eintrag nicht bestätigt werden. Die vollständige Liste steht im MSRC-Advisory.

Behoben in

• Das Sicherheitsupdate vom November 2026 (Patch Tuesday, 10. November 2026) für jedes betroffene Produkt installieren.
• Die korrigierten Builds sind die im CVE-Eintrag als erste nicht betroffene Version genannten Builds (zum Beispiel 10.0.14393.9688 oder höher für Windows 10 1607 und Windows Server 2016).
• KB-Artikelnummern: Unbekannt. Diese sind dem MSRC-Advisory zu entnehmen.

Umgehung

Unbekannt. In den Quellen wurde keine Schutzmassnahme und kein Workaround gefunden. Die Abschnitte 'Mitigations' und 'Workarounds' im MSRC-Advisory prüfen.

Ausnutzung

• Es wurden keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
• CVE.org stuft die Exploit-Reife als Unproven (E:U) ein, die Berichtsvertrauenswürdigkeit als Confirmed (RC:C).
• Der Exploitability-Index von Microsoft lautet Exploitation More Likely (laut Tenable). Dies ist eine Einschätzung und kein Nachweis einer Ausnutzung.
• Öffentlicher Proof-of-Concept-Code: Unbekannt. Bei den durchgeführten Recherchen nicht gefunden.
• Status im CISA-KEV-Katalog: Unbekannt. Nicht direkt geprüft.

Unsere Empfehlung

• Das Sicherheitsupdate vom November 2026 auf allen betroffenen Systemen installieren, mit Priorität auf Servern, RDS-/Terminalservern und gemeinsam genutzten Mehrbenutzer-Arbeitsstationen.
• Im MSRC-Advisory nach Schutzmassnahmen suchen und für jedes System die betroffenen Builds bestätigen.
• Lokale Anmelderechte einschränken und nicht benötigte lokale Konten entfernen, da der Angreifer ein lokales Konto mit niedrigen Rechten benötigt.
• Auf Aufnahmen in den CISA-KEV-Katalog und öffentlichen Exploit-Code achten und den Patch zusammen mit den übrigen kritischen Updates vom November 2026 einspielen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide (MSRC) msrc.microsoft.com
• Microsoft Security Update Guide (en-US) msrc.microsoft.com
• CVE.org CVE Record www.cve.org
• Tenable: Microsoft November 2026 Patch Tuesday www.tenable.com
• Qualys: Microsoft Patch Tuesday November 2026 review blog.qualys.com
• Cisco Talos: Microsoft Patch Tuesday November 2026 blog.talosintelligence.com
• Strix.ai CVE-2026-119853 (third-party, version data unconfirmed) www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 03:46.