Windows Text Services Framework: Rechteausweitung durch TOCTOU-Race-Condition

Zusammenfassung

Eine Time-of-Check-Time-of-Use-Race-Condition (TOCTOU) im Windows Text Services Framework erlaubt einem lokalen Angreifer, seine Rechte zu erweitern. Der Angreifer braucht zuerst einen vorhandenen Zugang mit niedrigen Rechten oder eine Codeausführung auf dem Gerät, und ein Angriff aus dem Netzwerk ist nicht möglich. Bei erfolgreicher Ausnutzung können SYSTEM- oder Administratorrechte erlangt werden, wodurch das gesamte System kompromittiert werden kann.

Betroffen

• Windows 10 Version 1607 und Windows Server 2016 (inklusive Server Core): Builds vor 10.0.14393.9688
• Windows 10 Version 1809 und Windows Server 2019 (inklusive Server Core): Builds vor 10.0.17763.9487
• Windows 10 Version 21H2: Builds vor 10.0.19044.7846
• Windows 10 Version 22H2: Builds vor 10.0.19045.7846
• Windows 11 Version 23H2: Builds vor 10.0.22631.7711
• Windows 11 Version 24H2 und 25H2, Windows 11 Version 26H2: Builds vor 10.0.26100.9974, 10.0.26200.9974 und 10.0.26300.9974
• Windows 11 Version 26H1: Builds vor 10.0.28000.3501
• Windows Server 2022: Builds vor 10.0.20348.5870
• Die betroffenen Bereiche stammen aus dem CVE-Eintrag von Microsoft; bitte auf der MSRC-Seite prüfen.

Behoben in

• Das Microsoft-Sicherheitsupdate installieren, das die Systeme auf die oben aufgeführten korrigierten Builds bringt (laut Research-Notizen das Sicherheitsupdate vom November 2026).
• KB-Nummer: Unbekannt.

Umgehung

Unbekannt.

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
• Kein öffentlicher Proof of Concept gefunden.
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
• Bewertung der Exploit-Reife durch Microsoft: Unproven.

Unsere Empfehlung

• Das Microsoft-Sicherheitsupdate auf allen betroffenen Windows-Systemen im üblichen monatlichen Patch-Zyklus installieren, mit Priorität für gemeinsam genutzte Geräte und noch verwendete Windows-10-Builds.
• Betroffene Builds und KB-Nummern vor dem Rollout auf der MSRC-Seite prüfen.
• Lokale Konten und Berechtigungen einschränken und auf unerwartete Rechteausweitungen achten.
• Der NVD-Status lautet Awaiting Analysis; der CVSS-Wert 7.0 stammt von Microsoft und kann von der NVD noch neu bewertet werden.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-119931 msrc.microsoft.com
• CVE Record CVE-2026-119931 (CNA: Microsoft) www.cve.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 08:27.