Windows Remote Desktop Services: Rechteerweiterung über doppelte Freigabe

Zusammenfassung

Eine doppelte Freigabe (Double Free) in Windows Remote Desktop Services erlaubt einem berechtigten lokalen Angreifer, seine Rechte zu erweitern. Der Angreifer benötigt ein lokales Konto mit niedrigen Berechtigungen und muss zusätzlich eine Race Condition gewinnen. Die Schwachstelle ist nicht aus dem Internet erreichbar, Mehrbenutzer-RDS-Session-Hosts und Terminalserver sind jedoch am stärksten gefährdet.

Betroffen

• Windows Server 2016 und Server Core Installation: 10.0.14393.0 vor 10.0.14393.9688
• Windows Server 2019 und Server Core Installation: 10.0.17763.0 vor 10.0.17763.9487
• Windows Server 2022: 10.0.20348.0 vor 10.0.20348.5870
• Windows Server 2025 und Server Core Installation: 10.0.26100.0 vor 10.0.26100.33822
• Windows-Client-Editionen: Unbekannt.

Behoben in

• Sicherheitsupdates, von Microsoft am 10. November 2026 veröffentlicht, je nach Edition (siehe MSRC-Advisory).
• Die korrigierten Builds sind die obere Grenze jedes betroffenen Bereichs; abgeleitet aus der Herstellerangabe, nicht separat genannt.
• KB-Artikelnummern: Unbekannt.

Umgehung

Unbekannt.

Ausnutzung

• Kein öffentlicher Exploit oder Proof of Concept gefunden.
• Keine Hinweise auf Ausnutzung in freier Wildbahn.
• CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
• Die Ausnutzung erfordert lokalen Zugriff mit niedrigen Berechtigungen und eine Race Condition.

Unsere Empfehlung

• Das kumulative Sicherheitsupdate vom November 2026 auf allen betroffenen Servern installieren, zuerst auf Mehrbenutzer-RDS-Session-Hosts, Terminalservern und gemeinsam genutzten Servern.
• Hyper-V-Hosts mit RDS-fähigen Gastsystemen einbeziehen, da die Schwachstelle laut Berichten aus einem Gast-VM ausgelöst werden kann.
• Lokale Anmeldung auf RDS-Session-Hosts auf die nötigen Benutzer beschränken.
• Das MSRC-Advisory auf Abdeckung der Client-Editionen und Massnahmentexte prüfen.
• Auf ungewöhnliche lokale Rechteänderungen achten und den Ausnutzungsstatus nach der Patch-Veröffentlichung erneut prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide (MSRC) msrc.microsoft.com
• CVE Record (CVE.org) www.cve.org
• VulDB vuldb.com
• Action1 Patch Tuesday November 2026 www.action1.com
• Talos Patch Tuesday November 2026 blog.talosintelligence.com
• Strix CVE mirror www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 03:36.