Windows Sandbox: OS-Command-Injection ermöglicht lokale Rechteerweiterung
Zusammenfassung
Windows Sandbox enthält eine OS-Command-Injection-Schwachstelle (CWE-78), die einem berechtigten lokalen Benutzer eine Rechteerweiterung erlaubt. Ein Angreifer benötigt ein bestehendes lokales Konto mit niedrigen Rechten, und es ist keine Benutzerinteraktion erforderlich. Eine erfolgreiche Ausnutzung kann dem Angreifer SYSTEM-Rechte auf dem betroffenen Gerät verschaffen (CVSS 7.8, hoch). Die Schwachstelle ist nicht aus dem Internet erreichbar.
Betroffen
- Microsoft Windows Sandbox (optionale Windows-Client-Funktion)
- Der CNA-Eintrag nennt den Bereich "from 1.0.0.0 before 0.8.111.0". Dieser Bereich ist intern widersprüchlich, daher sind die genau betroffenen Versionen unbekannt. Auf der MSRC-Seite überprüfen.
Behoben in
- Unbekannt. Sekundäre Quellen geben an, dass die Korrektur in den Updates von Microsoft vom November 2026 (veröffentlicht am 10. November 2026) enthalten ist. Die Build-Nummern konnten nicht bestätigt werden.
- Herstellerreferenz: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-119906
Umgehung
- Keine Herstellermassnahme gefunden.
- Als allgemeine Übergangsmassnahme die optionale Funktion Windows Sandbox deaktivieren, falls sie nicht genutzt wird. Dies ist nicht durch Microsoft bestätigt.
Ausnutzung
- Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden. Die CISA-SSVC-Bewertung lautet für die Ausnutzung "none", und der Strix-Eintrag zeigt KEV: No.
- Kein öffentlicher Proof of Concept gefunden.
- Die CVSS-Exploit-Reife ist E:U (unbewiesen).
Unsere Empfehlung
- Die kumulativen Updates vom November 2026 auf allen Windows-10- und Windows-11-Endgeräten installieren.
- Prüfen, ob Windows Sandbox aktiviert ist, und den Sandbox-Build auf jedem Gerät anhand der MSRC-Tabelle verifizieren.
- Lokale Administratorrechte einschränken und Standardbenutzerkonten auf gemeinsam genutzten PCs, Terminalservern und Mitarbeiter-Laptops überprüfen.
- Priorität: mittel. Remote-Schwachstellen oder aktiv ausgenutzte Schwachstellen im selben Release haben Vorrang.
Angaben von Microsoft (Patch Tuesday November 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Microsoft Security Update Guide: CVE-2026-119906 msrc.microsoft.com
- CVE Record: CVE-2026-119906 www.cve.org
- Strix: CVE-2026-119906 www.strix.ai
- Newsbeep: Microsoft November 2026 Patch Tuesday www.newsbeep.com
- Qualys: Microsoft Patch Tuesday November 2026 review blog.qualys.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 03:41.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.