Windows HTTP.sys: Informationsoffenlegung

Zusammenfassung

Microsoft hat CVE-2026-119946 für den Windows HTTP.sys-Kerneltreiber veröffentlicht, den Kernmodus-HTTP-Listener, der IIS und andere HTTP-basierte Dienste bedient. Laut dem offiziellen Eintrag erlaubt eine unzureichende Zugriffskontrolle einem nicht autorisierten Angreifer im Netzwerk, Informationen offenzulegen. Die CWE lautet CWE-522 (unzureichend geschützte Zugangsdaten), daher ist unklar, welche Daten konkret betroffen sind. Die Angriffskomplexität ist hoch, und es sind weder Berechtigungen noch Benutzerinteraktion nötig; der CVSS-Wert beträgt 5.9 (Mittel), wobei einige Quellen die Schwere als Wichtig einstufen. Eine Ausnutzung oder ein öffentlicher Proof of Concept ist nicht bekannt.

Betroffen

• Windows 10 Version 1607 (vor 10.0.14393.9688)
• Windows 10 Version 1809 (vor 10.0.17763.9487)
• Windows 10 Version 21H2 (vor 10.0.19044.7846)
• Windows 10 Version 22H2 (vor 10.0.19045.7846)
• Windows 11 Version 23H2 (vor 10.0.22631.7711)
• Windows 11 Version 24H2 (vor 10.0.26100.9974)
• Windows 11 Version 25H2 (vor 10.0.26200.9974)
• Windows 11 Version 26H1 (vor 10.0.28000.3501)
• Windows 11 Version 26H2 (vor 10.0.26300.9974)
• Windows Server 2016, inklusive Server Core (vor 10.0.14393.9688)
• Windows Server 2019, inklusive Server Core (vor 10.0.17763.9487)
• Windows Server 2022 (vor 10.0.20348.5870)

Behoben in

• Installieren Sie das Sicherheitsupdate vom November 2026 (veröffentlicht am 10. November 2026).
• Die korrigierten Builds sind im Abschnitt Betroffene oben aufgeführt und stammen aus dem offiziellen CVE-Eintrag.
• Drittanbieter-Zuordnungen der KB-Nummern (nicht von Microsoft bestätigt): KB5132061 (24H2), KB5132059 (26H1), KB5131087 (23H2).

Umgehung

Unbekannt. In den geprüften Quellen ist kein Workaround oder keine Gegenmassnahme des Herstellers dokumentiert.

Ausnutzung

• Nicht als ausgenutzt bekannt.
• CISA SSVC: Ausnutzung keine, nicht automatisierbar, partielle technische Auswirkung.
• Rapid7 stuft die Ausnutzung als weniger wahrscheinlich ein; SANS ISC führt die Lücke als nicht offengelegt.
• Kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Installieren Sie das Sicherheitsupdate vom November 2026 auf allen betroffenen Windows-10-, Windows-11- und Server-Systemen, zuerst auf Internet-erreichbaren oder Mehrbenutzer-IIS/HTTP-Servern.
• Patchen Sie HTTP.sys CVE-2026-119992 (Rechteerweiterung, von Rapid7 als wahrscheinlicher ausnutzbar eingestuft) im selben Zyklus.
• Windows 10 1607, 1809 und 21H2 sind als ESU-Schwachstellen aufgeführt und benötigen möglicherweise ein ESU-Abonnement.
• Ermitteln Sie Systeme mit HTTP.sys-basierten Diensten und prüfen Sie, ob sie aus unvertrauenswürdigen Netzwerken erreichbar sind.
• Prüfen Sie Build- und KB-Nummern vor dem Rollout beim MSRC.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide: CVE-2026-119946 msrc.microsoft.com
• CVE.org record CVE-2026-119946 www.cve.org
• Rapid7: Patch Tuesday November 2026 (EM) www.rapid7.com
• Rapid7: Patch Tuesday November 2026 exploitation outlook www.rapid7.com
• SANS ISC diary isc.sans.edu
• BleepingComputer: Microsoft November 2026 Patch Tuesday www.bleepingcomputer.com
• MSRC Security Update Guide: CVE-2026-119992 msrc.microsoft.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 15:14.