Windows PrintWorkflowUserSvc: Use after free ermöglicht lokale Rechteerweiterung

Zusammenfassung

Eine Use-after-Free-Schwachstelle im Windows-Dienst PrintWorkflowUserSvc erlaubt einem berechtigten lokalen Benutzer, seine Rechte zu erweitern. Der Angreifer benötigt ein gültiges Konto mit niedrigen Rechten auf dem System und muss eine hohe Angriffskomplexität überwinden. Bei einer erfolgreichen Ausnutzung erhält der Angreifer die Kontrolle auf SYSTEM-Ebene, weshalb Mehrbenutzersysteme wie Terminalserver und gemeinsam genutzte Arbeitsstationen besonders gefährdet sind.

Betroffen

• Windows 10 Version 1809 (10.0.17763.0 bis vor 10.0.17763.9487)
• Windows 10 Version 21H2 (10.0.19044.0 bis vor 10.0.19044.7846)
• Windows 10 Version 22H2 (10.0.19045.0 bis vor 10.0.19045.7846)
• Windows 11 Version 23H2 (10.0.22631.0 bis vor 10.0.22631.7711)
• Windows 11 Version 24H2 (10.0.26100.0 bis vor 10.0.26100.9974)
• Windows 11 Version 25H2 (10.0.26200.0 bis vor 10.0.26200.9974)
• Windows 11 Version 26H1 (10.0.28000.0 bis vor 10.0.28000.3501)
• Windows 11 Version 26H2 (10.0.26300.0 bis vor 10.0.26300.9974)
• Windows Server 2019, inklusive Server Core (10.0.17763.0 bis vor 10.0.17763.9487)
• Windows Server 2022 (10.0.20348.0 bis vor 10.0.20348.5870)
• Windows Server 2025, inklusive Server Core (10.0.26100.0 bis vor 10.0.26100.33822)

Behoben in

• Das kumulative Update vom November 2026 für die jeweilige Version installieren. Die korrigierte Build-Nummer ist jeweils die im betroffenen Bereich oben angegebene Obergrenze ("vor").
• KB-Artikelnummern: Unbekannt.

Umgehung

• Es ist kein Workaround dokumentiert. Das Installieren des Sicherheitsupdates ist die Behebung.
• Falls das Patchen warten muss, die Auswirkungen prüfen und anschliessend den Dienst PrintWorkflowUserSvc auf Systemen deaktivieren, die keine UWP-Druckworkflow-Funktionen benötigen. Vorher testen, ob der Druck weiterhin funktioniert.

Ausnutzung

• Es ist kein öffentlicher Proof-of-Concept-Exploit bekannt.
• Eine Ausnutzung in freier Wildbahn wurde nicht gemeldet.
• CISA SSVC: Ausnutzung keine, nicht automatisierbar, technische Auswirkung total.
• CVSS 3.1: 7.0 (Hoch), Vektor AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H, Reifegrad des Exploit-Codes unbewiesen.

Unsere Empfehlung

• Das kumulative Windows-Update vom November 2026 auf allen betroffenen Systemen installieren und die Build-Nummer mit dem MSRC-Advisory abgleichen.
• Terminalserver, RDS-Hosts, gemeinsam genutzte PCs und Systeme mit nicht vertrauenswürdigen lokalen Benutzern priorisieren.
• Lokale Benutzerkonten prüfen und nicht benötigte Zugriffe entfernen.
• Auf Absturze des Dienstes PrintWorkflowUserSvc achten, auf die eine Prozesserstellung unter NT AUTHORITY\SYSTEM folgt.
• MSRC und NVD auf Berichte zu Exploits prüfen, da sich der Status schnell ändern kann.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-119928 msrc.microsoft.com
• CVE.org CVE Record CVE-2026-119928 www.cve.org
• VulDB entry 434330 vuldb.com
• Strix AI CVE-2026-119928 (third-party mirror) www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 08:27.