Microsoft Windows Speech: Code-Injection ermöglicht lokale Rechteerweiterung

Zusammenfassung

Microsoft Windows Speech enthält eine Code-Injection-Schwachstelle (CWE-94), die einem berechtigten lokalen Benutzer eine Rechteerweiterung ermöglicht. Ein Angreifer benötigt einen bestehenden Zugang mit niedrigen Rechten auf dem System, beispielsweise über ein Phishing-Konto oder laufende Schadsoftware, und es ist keine Benutzerinteraktion erforderlich. Die CNA stuft die Schwachstelle mit CVSS 7.8 (hoch) und geändertem Scope ein, sodass ein kompromittiertes Konto auch andere Komponenten betreffen kann. Zum Zeitpunkt der Erstellung wurde weder eine Ausnutzung noch ein öffentlicher Proof of Concept gefunden.

Betroffen

• Windows 10 Version 1809 (vor 10.0.17763.9487)
• Windows 10 Version 21H2 (vor 10.0.19044.7846)
• Windows 10 Version 22H2 (vor 10.0.19045.7846)
• Windows 11 Version 23H2 (vor 10.0.22631.7711)
• Windows 11 Version 24H2 (vor 10.0.26100.9974, gemäss einem Drittanbieter-Aggregator, nicht gegen MSRC verifiziert)
• Windows 11 Version 25H2 (vor 10.0.26200.9974)
• Windows 11 Version 26H1 (vor 10.0.28000.3501)
• Windows 11 Version 26H2 (vor 10.0.26300.9974)
• Windows Server 2019 inkl. Server Core (vor 10.0.17763.9487)
• Windows Server 2022 (vor 10.0.20348.5870, gemäss einem Drittanbieter-Aggregator, nicht gegen MSRC verifiziert)
• Windows Server 2025 inkl. Server Core (vor 10.0.26100.33822)

Behoben in

• Behoben in den Sicherheitsupdates von Microsoft vom November 2026.
• Behobene Builds wie oben aufgeführt; die vollständige Tabelle pro Produkt und die KB-Nummern wurden nicht aus dem MSRC-Advisory bestätigt.

Umgehung

Unbekannt. Es wurde kein vom Hersteller dokumentierter Workaround gefunden. Das Patchen ist die erwartete Massnahme.

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
• Kein öffentlicher Proof of Concept gefunden; der CVSS-Vektor verwendet die Exploit-Reife E:U (unbewiesen).
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
• Das MSRC-Flag 'Exploited' wurde nicht verifiziert.

Unsere Empfehlung

• Das kumulative Update vom November 2026 auf allen aufgeführten Windows- und Windows-Server-Systemen installieren und prüfen, ob Windows Update es tatsächlich installiert hat.
• Ältere Windows-10-Systeme der Version 1809 oder 21H2 identifizieren und prüfen, ob sie weiterhin Sicherheitsupdates erhalten.
• Lokale Anmeldungen einschränken und die Rechte von Benutzer- und Dienstkonten begrenzen, um das Risiko eines Angriffs in einer zweiten Stufe zu senken.
• Die Priorität neu beurteilen, falls Microsoft die Schwachstelle als ausgenutzt markiert oder ein öffentlicher Proof of Concept erscheint.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-119904 msrc.microsoft.com
• CVE Record: CVE-2026-119904 www.cve.org
• Rapid7: Patch Tuesday November 2026 www.rapid7.com
• Zero Day Initiative: November 2026 Security Update Review www.zerodayinitiative.com
• Strix: CVE-2026-119904 (third-party aggregator) www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 03:44.