Windows: Rechteerweiterung in Function Discovery Resource Publication

Zusammenfassung

Der Windows-Dienst Function Discovery Resource Publication (FDResPub) enthält eine nicht vertrauenswürdige Zeigerdereferenzierung (CWE-822). Ein lokal angemeldeter Angreifer mit niedrigen Berechtigungen kann seine Rechte bis auf SYSTEM erweitern. Voraussetzung ist lokaler Zugriff und ein gültiges Benutzerkonto mit niedrigen Rechten, daher ist keine Ausnutzung über das Netzwerk möglich. Microsoft stuft die Ausnutzung als nicht nachgewiesen und nicht automatisierbar ein.

Betroffen

• Windows 10 Version 1607 (10.0.14393.0 bis vor 10.0.14393.9688)
• Windows 10 Version 1809 (10.0.17763.0 bis vor 10.0.17763.9487)
• Windows 10 Version 21H2 (10.0.19044.0 bis vor 10.0.19044.7846)
• Windows 10 Version 22H2 (10.0.19045.0 bis vor 10.0.19045.7846)
• Windows 11 Version 23H2 (10.0.22631.0 bis vor 10.0.22631.7711)
• Windows 11 Version 24H2 (10.0.26100.0 bis vor 10.0.26100.9974)
• Windows 11 Version 25H2 (10.0.26200.0 bis vor 10.0.26200.9974)
• Windows 11 Version 26H1 (10.0.28000.0 bis vor 10.0.28000.3501)
• Windows 11 Version 26H2 (10.0.26300.0 bis vor 10.0.26300.9974)
• Windows Server 2016, inklusive Server Core (10.0.14393.0 bis vor 10.0.14393.9688)
• Windows Server 2019, inklusive Server Core (10.0.17763.0 bis vor 10.0.17763.9487)
• Windows Server 2022 (10.0.20348.0 bis vor 10.0.20348.5870)

Behoben in

• Behoben im Sicherheitsupdate vom November 2026 (Patch Tuesday, 10. Nov. 2026), jeweils mit dem ersten Build ab der genannten Nummer.
• Behobene Builds gemäss CVE-Eintrag: 10.0.14393.9688, 10.0.17763.9487, 10.0.19044.7846, 10.0.19045.7846, 10.0.22631.7711, 10.0.26100.9974, 10.0.26200.9974, 10.0.28000.3501, 10.0.26300.9974, 10.0.20348.5870.
• KB-Nummern: Unbekannt.
• Windows 11 23H2: Eine Pressemeldung nennt KB5131087 mit Build 22631.7582, was im Widerspruch zu 22631.7711 steht. Auf MSRC prüfen.

Umgehung

• Herstellerseitige Massnahme: Keine gefunden. Die Installation des Updates ist die Behebung.
• Nicht bestätigte Analogie: Für den verwandten Fehler CVE-2026-42836 (Juni 2026) schlägt ein Drittartikel vor, Function Discovery Provider Host (fdPHost) und Function Discovery Resource Publication (FDResPub) zu deaktivieren, falls sie nicht benötigt werden. Dies ist für CVE-2026-119907 nicht bestätigt und muss vorgängig getestet werden.

Ausnutzung

• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• CVSS-Temporal-Vektor: E:U (Reifegrad des Exploit-Codes nicht nachgewiesen).
• In freier Wildbahn: Für diese CVE keine Hinweise gefunden.
• Öffentlicher Proof of Concept: Keiner gefunden.

Unsere Empfehlung

• Das kumulative Sicherheitsupdate vom November 2026 auf allen betroffenen Systemen installieren und den behobenen Build zuerst im MSRC-Advisory prüfen.
• Prüfen, ob Windows 10 1607, 1809 oder 21H2 über ESU oder eine andere gültige Wartung verfügen, und Upgrades planen.
• Gemeinsam genutzte Hosts, Terminalserver und Systeme, auf denen Benutzer nicht vertrauenswürdigen Code ausführen können, priorisieren.
• FDResPub und verwandte Function-Discovery-Dienste nur dort deaktivieren, wo sie nicht benötigt werden, nach vorgängigem Test.
• Endpunkte auf unerwartete Rechteerweiterungen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-119907 msrc.microsoft.com
• CVE Record: CVE-2026-119907 www.cve.org
• Neowin: Windows 11 KB5132061/KB5131087 November 2026 update www.neowin.net
• Windows News: CVE-2026-42836 (analogue, not confirmed for this CVE) windowsnews.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 03:42.