Microsoft Windows Search Component: Lokale Rechteerweiterung durch Path Traversal

Zusammenfassung

Eine absolute Path-Traversal-Schwachstelle (CWE-36) in der Microsoft Windows Search Component erlaubt einem berechtigten lokalen Benutzer eine Rechteerweiterung. Der CVE-Eintrag nennt zusätzlich fehlende Authentifizierung (CWE-306). Der Angreifer benötigt ein gültiges lokales Konto und kann die Schwachstelle nicht aus der Ferne ausnutzen. CISA SSVC bewertet die Ausnutzung als nicht vorhanden und die Automatisierbarkeit als nicht gegeben; ein öffentlicher Exploit ist nicht gemeldet.

Betroffen

• Windows 10 Version 1809: 10.0.17763.0 bis vor 10.0.17763.9487
• Windows 10 Version 21H2: 10.0.19044.0 bis vor 10.0.19044.7846
• Windows 10 Version 22H2: 10.0.19045.0 bis vor 10.0.19045.7846
• Windows 11 Version 23H2: 10.0.22631.0 bis vor 10.0.22631.7711
• Windows 11 Version 24H2: 10.0.26100.0 bis vor 10.0.26100.9974
• Windows 11 Version 25H2: 10.0.26200.0 bis vor 10.0.26200.9974
• Windows 11 Version 26H1: 10.0.28000.0 bis vor 10.0.28000.3501
• Windows 11 Version 26H2: 10.0.26300.0 bis vor 10.0.26300.9974
• Windows Server 2019 (inklusive Server Core): 10.0.17763.0 bis vor 10.0.17763.9487
• Windows Server 2022: 10.0.20348.0 bis vor 10.0.20348.5870
• Windows Server 2025 (inklusive Server Core): 10.0.26100.0 bis vor 10.0.26100.33822

Behoben in

• Windows 10 1809: 10.0.17763.9487
• Windows 10 21H2: 10.0.19044.7846
• Windows 10 22H2: 10.0.19045.7846
• Windows 11 23H2: 10.0.22631.7711
• Windows 11 24H2: 10.0.26100.9974
• Windows 11 25H2: 10.0.26200.9974
• Windows 11 26H1: 10.0.28000.3501
• Windows 11 26H2: 10.0.26300.9974
• Windows Server 2019: 10.0.17763.9487
• Windows Server 2022: 10.0.20348.5870
• Windows Server 2025: 10.0.26100.33822

Die Fix-Builds stammen aus dem CVE-Eintrag; sie sind mit dem MSRC-Advisory zu überprüfen.

Umgehung

Unbekannt.

Ausnutzung

• Es wurden keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden (Stand der Recherche).
• CISA SSVC: Ausnutzung keine, Automatisierbarkeit nein, technische Auswirkung total.
• Die CVSS-Temporalmetrik (E:U) deutet darauf hin, dass zum Zeitpunkt der Veröffentlichung kein Exploit-Code bekannt war.
• Die NVD-Analyse stand noch aus (Awaiting Analysis).

Unsere Empfehlung

• Die kumulativen Updates vom November 2026 auf allen betroffenen Windows-Clients und -Servern installieren.
• Im MSRC-Advisory die Fix-Builds für jede eingesetzte Plattform prüfen.
• Mehrbenutzersysteme, Terminalserver und RDP-Hosts priorisieren.
• Lokale Konten prüfen und die interaktive Anmeldung auf Servern und gemeinsam genutzten Systemen einschränken.
• NVD und den CISA-KEV-Katalog auf Aktualisierungen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Response Center: CVE-2026-119954 msrc.microsoft.com
• CVE Record CVE-2026-119954 (CVE.org) www.cve.org
• Strix: CVE-2026-119954 (secondary, unverified) www.strix.ai
• Vulners: CVE-2026-68896 (same title and description, duplicate status unclear) vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 03:35.