Microsoft Windows ICS: Lokale Rechteerweiterung durch Use-after-free

Zusammenfassung

Eine Use-after-free-Schwachstelle (CWE-416) in der Windows Internet Connection Sharing (ICS) erlaubt einem lokal berechtigten Angreifer, seine Rechte zu erweitern. Ein Angreifer mit einer normalen Benutzersitzung, zum Beispiel nach einer Phishing-Kompromittierung, könnte auf dem betroffenen System höhere Rechte erlangen. Die Angriffskomplexität ist hoch und es ist keine Benutzerinteraktion erforderlich. Microsoft hat die Schwachstelle in den Updates vom November 2026 behoben.

Betroffen

• Windows 10 Version 1607 und Windows Server 2016 (inklusive Server Core): 10.0.14393.0 bis vor 10.0.14393.9688
• Windows 10 Version 1809 und Windows Server 2019 (inklusive Server Core): 10.0.17763.0 bis vor 10.0.17763.9487
• Windows 10 Version 21H2: 10.0.19044.0 bis vor 10.0.19044.7846
• Windows 10 Version 22H2: 10.0.19045.0 bis vor 10.0.19045.7846
• Windows 11 Version 23H2: 10.0.22631.0 bis vor 10.0.22631.7711
• Windows 11 Version 24H2: 10.0.26100.0 bis vor 10.0.26100.9974
• Windows 11 Version 25H2: 10.0.26200.0 bis vor 10.0.26200.9974
• Windows 11 Version 26H1: 10.0.28000.0 bis vor 10.0.28000.3501
• Windows 11 Version 26H2: 10.0.26300.0 bis vor 10.0.26300.9974
• Windows Server 2022: 10.0.20348.0 bis vor 10.0.20348.5870
• Vollständige Liste ist im MSRC-Advisory zu bestätigen

Behoben in

• Die kumulativen Updates vom November 2026 für die betroffene Windows-Version installieren.
• Behobene Builds: siehe obige Liste der betroffenen Builds (erster behobener Build je Produkt, gemäss CVE-Eintrag).
• KB-Nummern: Unbekannt.

Umgehung

Unbekannt.

• Falls ICS nicht benötigt wird, deaktivieren, insbesondere auf Servern und gemeinsam genutzten Arbeitsstationen. Dies ersetzt das Patchen nicht.

Ausnutzung

• Rapid7 stuft die Ausnutzung als weniger wahrscheinlich ein und meldet keine festgestellte Ausnutzung.
• Der CVSS-Temporalwert für die Ausnutzungsreife lautet Unproven (E:U).
• Im Rahmen der Recherche wurde kein öffentlicher Proof of Concept gefunden; dies ist kein Beweis, dass keiner existiert.
• Status im CISA-KEV-Katalog: Unbekannt (nicht überprüft).

Unsere Empfehlung

• Die Windows-Sicherheitsupdates vom November 2026 im normalen monatlichen Zyklus installieren und Server sowie Systeme mit aktivierter ICS priorisieren.
• Systeme mit Windows 10 1607/1809 sowie Windows Server 2016/2019 priorisieren, da diese als betroffen gelistet sind.
• ICS auf Geräten deaktivieren, auf denen sie nicht benötigt wird.
• Betroffene Builds und KB-Nummern vor dem Rollout im MSRC-Advisory überprüfen.
• Den CISA-KEV-Katalog prüfen und auf öffentlichen Exploit-Code achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-119860 msrc.microsoft.com
• CVE Record: CVE-2026-119860 www.cve.org
• Rapid7: Patch Tuesday November 2026 www.rapid7.com
• GBHackers: Microsoft November 2026 Patch Tuesday gbhackers.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 08:38.