Windows HTTP.sys: Informationsoffenlegung

Zusammenfassung

Eine Schwachstelle im Windows-Kerneltreiber HTTP.sys legt sensible Systeminformationen einer nicht autorisierten Kontrollsphäre offen (CWE-497). Ein Angreifer mit lokalem Zugriff und einem Konto mit niedrigen Berechtigungen kann diese Informationen auslesen. Die Angriffskomplexität ist hoch und die Auswirkung beschränkt sich auf die Vertraulichkeit. Die Schwachstelle ist nicht direkt aus dem Internet erreichbar.

Betroffen

• Windows 10 Version 1607 (10.0.14393.0 bis vor 10.0.14393.9688)
• Windows 10 Version 1809 (10.0.17763.0 bis vor 10.0.17763.9487)
• Windows 10 Version 21H2 (10.0.19044.0 bis vor 10.0.19044.7846)
• Windows 10 Version 22H2 (10.0.19045.0 bis vor 10.0.19045.7846)
• Windows 11 Version 23H2 (10.0.22631.0 bis vor 10.0.22631.7711)
• Windows 11 Version 24H2 (10.0.26100.0 bis vor 10.0.26100.9974)
• Windows 11 Version 25H2 (10.0.26200.0 bis vor 10.0.26200.9974)
• Windows 11 Version 26H1 (10.0.28000.0 bis vor 10.0.28000.3501)
• Windows 11 Version 26H2 (10.0.26300.0 bis vor 10.0.26300.9974)
• Windows Server 2016 inklusive Server Core (10.0.14393.0 bis vor 10.0.14393.9688)
• Windows Server 2019 inklusive Server Core (10.0.17763.0 bis vor 10.0.17763.9487)
• Windows Server 2022 (10.0.20348.0 bis vor 10.0.20348.5870)
• Windows Server 2025: nicht im CNA-Auszug aufgeführt; auf der MSRC-Seite prüfen

Behoben in

• Das Sicherheitsupdate vom November 2026 von Microsoft für jede betroffene Version installieren (die KB-Nummer je Version muss auf der MSRC-Seite bestätigt werden)
• Korrigierte Builds gemäss CNA-Eintrag: 14393.9688, 17763.9487, 19044.7846, 19045.7846, 22631.7711, 26100.9974, 26200.9974, 28000.3501, 26300.9974, 20348.5870
• Build-Nummern für Server 2025 sind nicht verifiziert

Umgehung

Unbekannt. Es wurde keine vom Hersteller dokumentierte Massnahme gefunden. Das Sicherheitsupdate einspielen.

Ausnutzung

• Gemäss SANS ISC und Rapid7 nicht als aktiv ausgenutzt bekannt
• Kein öffentlicher Proof of Concept gefunden
• Der CNA-Vektor verwendet die Exploit-Reife E:U (unbewiesen)
• Nicht in CISA KEV verifiziert

Unsere Empfehlung

• Das kumulative Update vom November 2026 auf allen betroffenen Systemen installieren, zuerst Server, Mehrbenutzersysteme, Terminalserver und Hosts mit Anmeldungen unbekannter Benutzer
• Prüfen, ob ältere Systeme (Windows 10 1607/1809, Server 2016/2019) noch über Extended Security Updates versorgt werden
• Lokale Anmeldungen nach Möglichkeit auf vertrauenswürdige Benutzer beschränken
• Auf der MSRC-Seite die genauen KB-Nummern und allfällige Zwischenmassnahmen prüfen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide (MSRC) msrc.microsoft.com
• CVE Record CVE-2026-119942 www.cve.org
• Strix CVE-2026-119942 www.strix.ai
• SANS ISC diary isc.sans.edu
• Rapid7 Patch Tuesday November 2026 www.rapid7.com
• Action1 Patch Tuesday November 2026 www.action1.com
• Senserva KB5132061 senserva.com
• Cybersecurity News Patch Tuesday November 2026 cybersecuritynews.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 20:17.