Microsoft Windows Installer: Rechteausweitung durch Race Condition

Zusammenfassung

Eine Race Condition (CWE-362) und eine Use-after-free-Schwachstelle (CWE-416) im Windows Installer erlauben es einem lokalen Angreifer mit einem Standardkonto, seine Rechte zu erweitern. Der Angriff erfordert eine hohe Komplexität und ein lokales Konto; gelingt er, erhält der Angreifer die volle Kontrolle über den Host. Gefährdet sind vor allem Mehrbenutzer-Server, Terminal-Server und Arbeitsstationen mit lokalen Benutzerkonten.

Betroffen

• Windows 10 Version 1607 und Windows Server 2016: Builds vor 10.0.14393.9612
• Windows 10 Version 1809: Builds vor 10.0.17763.9376
• Windows 10 Version 21H2: Builds vor 10.0.19044.7807
• Windows 10 Version 22H2: Builds vor 10.0.19045.7807
• Windows 11 Version 23H2: Builds vor 10.0.22631.7652
• Windows 11 Version 24H2: Builds vor 10.0.26100.9711
• Windows 11 Version 25H2 und Version 26H2: Builds vor 10.0.26200.9711 und 10.0.26300.9711
• Windows 11 Version 26H1: Builds vor 10.0.28000.3231
• Windows Server 2012 (inklusive Server Core): Builds vor 6.2.9200.26434
• Windows Server 2012 R2 (inklusive Server Core): Builds vor 6.3.9600.23470

Behoben in

Installation des kumulativen Windows-Updates für November 2026 (Patch Tuesday, 10. November 2026) oder eines neueren Updates, das die unter betroffen aufgeführten Builds bereitstellt. Die genauen Builds und KB-Nummern sind im MSRC-Advisory zu prüfen.

Umgehung

Unbekannt.

Ausnutzung

• Nicht bekannt, dass die Schwachstelle aktiv ausgenutzt wird.
• Kein öffentlicher Proof of Concept oder Exploit-Code gefunden.
• CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
• Rapid7 stuft die Ausnutzung als weniger wahrscheinlich ein.

Unsere Empfehlung

• Das kumulative Update vom November 2026 auf allen betroffenen Windows-Systemen installieren; Mehrbenutzer-Server, Terminal-Server und Arbeitsstationen mit lokalen Konten zuerst.
• Lokale Anmelderechte und Standardbenutzerrechte auf Servern und gemeinsam genutzten Arbeitsstationen einschränken.
• Auf unerwartete MSI-Installationen und Rechteänderungen achten.
• Die Builds vor dem Rollout im MSRC-Advisory prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-119865 msrc.microsoft.com
• CVE Record CVE-2026-119865 www.cve.org
• Rapid7: Patch Tuesday November 2026 www.rapid7.com
• ZDI: October 2026 Security Update Review www.zerodayinitiative.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 08:36.