Microsoft Windows Server Failover Clustering: Lokale Rechteerweiterung durch Use-after-Free

Zusammenfassung

Eine Use-after-Free-Schwachstelle (CWE-416) im Feature Windows Failover Cluster erlaubt es einem Angreifer mit bestehendem autorisiertem Zugriff, seine Rechte lokal zu erweitern. Eine erfolgreiche Ausnutzung würde volle Kontrolle über den betroffenen Cluster-Knoten ermöglichen, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Der Angriff erfordert lokalen Zugriff und hohe Berechtigungen, daher ist er nicht direkt aus dem Internet ausnutzbar. Das Hauptrisiko für KMU besteht in einem kompromittierten Administratorkonto oder einem nicht aktualisierten Cluster-Knoten.

Betroffen

• Windows Server 2016 (inklusive Server Core): 10.0.14393.0 bis vor 10.0.14393.9688
• Windows Server 2019 (inklusive Server Core): 10.0.17763.0 bis vor 10.0.17763.9487
• Windows Server 2022: 10.0.20348.0 bis vor 10.0.20348.5870
• Windows Server 2025 (inklusive Server Core): 10.0.26100.0 bis vor 10.0.26100.33822 (Bereich nur von einem Drittanbieter-Aggregator aufgeführt, noch zu verifizieren)
• Andere Windows-Editionen: Unbekannt.

Behoben in

• Windows Server 2016: 10.0.14393.9688 (laut CVE-Eintrag, auf MSRC zu verifizieren)
• Windows Server 2019: 10.0.17763.9487 (laut CVE-Eintrag, auf MSRC zu verifizieren)
• Windows Server 2022: 10.0.20348.5870 (laut CVE-Eintrag, auf MSRC zu verifizieren)
• Windows Server 2025: Unbekannt (auf MSRC zu verifizieren)
• Update: kumulatives Sicherheitsupdate vom November 2026, genaue KB pro Build auf der MSRC-Seite.

Umgehung

• Keine bekannt.
• Übergangsmassnahme: lokale Anmeldung und administrative Rechte auf Cluster-Knoten einschränken.

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn.
• Kein öffentlicher Proof-of-Concept bekannt.
• Zum Zeitpunkt der Recherche nicht im CISA-KEV-Katalog aufgeführt.
• CVSS-Temporalmetriken: Reifegrad des Exploit-Codes unbewiesen, offizieller Fix verfügbar.
• CISA SSVC: Ausnutzung keine, nicht automatisierbar, technische Auswirkung total.

Unsere Empfehlung

• Das Sicherheitsupdate vom November 2026 auf allen Windows-Server-Knoten mit dem Feature Failover Cluster installieren und den genauen Build auf der MSRC-Seite prüfen.
• Rollierende Failover-Planung für geclusterte Hyper-V- oder SQL-Server-Hosts vorsehen, um Ausfallzeiten zu begrenzen.
• Lokale Anmeldung und administrative Rechte auf Cluster-Knoten prüfen und einschränken.
• Prüfen, ob weitere aktuelle Sicherheitsupdates für Failover Cluster installiert sind, da andere Schwachstellen aus 2026 aus der Ferne und ohne Authentifizierung schwerere Angriffe erlauben.
• NVD-Analyse und CISA KEV auf Änderungen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide (MSRC) msrc.microsoft.com
• CVE Record CVE-2026-119869 www.cve.org
• Strix CVE summary CVE-2026-119869 www.strix.ai
• Rapid7 Patch Tuesday November 2026 www.rapid7.com
• Senserva KB5131085 summary (third-party) senserva.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 13:52.