Windows IP Translation Configuration Service: Rechteausweitung durch Use-after-free

Zusammenfassung

Eine Use-after-free-Schwachstelle (CWE-416) im Windows IP Translation Configuration Service erlaubt einem lokalen, berechtigten Angreifer eine Rechteausweitung. Der Dienst läuft als Local System, weshalb ein erfolgreicher Angriff volle Kontrolle über den Host ermöglicht. Der Angriff setzt lokalen Zugriff, bestehende Berechtigungen und eine hohe Angriffskomplexität voraus und ist nicht aus dem Internet erreichbar.

Betroffen

• Windows 10 Version 1607 (vor 10.0.14393.9688)
• Windows 10 Version 1809 (vor 10.0.17763.9487)
• Windows 10 Version 21H2 (vor 10.0.19044.7846)
• Windows 10 Version 22H2 (vor 10.0.19045.7846)
• Windows 11 Version 23H2 (vor 10.0.22631.7711)
• Windows 11 Version 24H2 (vor 10.0.26100.9974 gemäss CNA-Eintrag; Build-Nummer auf MSRC zu verifizieren)
• Windows 11 Version 25H2 (vor 10.0.26200.9974)
• Windows 11 Version 26H1 (vor 10.0.28000.3501)
• Windows 11 Version 26H2 (vor 10.0.26300.9974)
• Windows Server 2016, inklusive Server Core (vor 10.0.14393.9688)
• Windows Server 2019, inklusive Server Core (vor 10.0.17763.9487)
• Windows Server 2022 (vor 10.0.20348.5870)

Behoben in

Behoben in den Microsoft-Sicherheitsupdates vom 10. November 2026. Sekundäre Quellen nennen KB5132061 (24H2), KB5132059 (26H1), KB5131087 (23H2) und KB5131085 (Server 2019 / 1809). Für Windows 10 1607 und Server 2016 wurde keine KB gefunden. Alle KB-Nummern und Builds vor dem Rollout auf MSRC und im Microsoft Update Catalog verifizieren.

Umgehung

Unbekannt. Microsoft hat keine Workaround veröffentlicht.

• Nicht vom Hersteller bestätigt: Auf Hosts, die keine IP-Übersetzung benötigen, kann der Dienst gestoppt oder deaktiviert bleiben. Vorher testen, da abhängige Funktionen ausfallen können.

Ausnutzung

• Keine bestätigte Ausnutzung in freier Wildbahn.
• Kein öffentlicher Proof of Concept gefunden.
• Microsoft bewertet die Exploit-Reife als nicht nachgewiesen (E:U).
• CISA SSVC: keine Ausnutzung, nicht automatisierbar, totale technische Auswirkung.
• Laut sekundären Quellen nicht im CISA-KEV-Katalog aufgeführt.

Unsere Empfehlung

• Dieses Update im Patch-Zyklus vom November 2026 einplanen und Server, Terminal-Server sowie veraltete 1607/1809-Systeme priorisieren.
• Vor dem Rollout die genauen Build-Nummern auf MSRC prüfen, da die Quellen bei der 24H2-Build-Nummer voneinander abweichen.
• Die Neustart-Fenster planen, da der November-Patchumfang gross ist.
• Lokale Anmelderechte einschränken und Konten mit lokalem Zugriff auf Mehrbenutzer-Servern überprüfen.
• Falls keine IP-Übersetzung benötigt wird, kann der Dienst nach einem Test deaktiviert werden.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-119871 msrc.microsoft.com
• CVE.org record CVE-2026-119871 www.cve.org
• Strix: CVE-2026-119871 www.strix.ai
• Senserva: KB5132061 (24H2) senserva.com
• Senserva: KB5132059 (26H1) senserva.com
• Senserva: KB5131087 (23H2) senserva.com
• Senserva: KB5131085 (Server 2019 / 1809) senserva.com
• WinHelpOnline: Windows 10 default services configuration www.winhelponline.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 13:51.