Microsoft Windows HTTP.sys: Lokale Rechteerweiterung durch Double Free

Zusammenfassung

Eine Double-Free-Schwachstelle (CWE-415) im Kernel-Modus-HTTP-Listener Windows HTTP.sys erlaubt einem berechtigten lokalen Benutzer, seine Rechte zu erhöhen. Der Angriff setzt ein gültiges Konto mit niedrigen Berechtigungen auf dem System voraus und ist mit hoher Angriffskomplexität verbunden, daher ist er nicht aus dem Internet aus der Ferne ausnutzbar. Ein Angreifer, der bereits Zugriff hat, etwa über einen Phishing-Opfer oder ein kompromittiertes Dienstkonto, könnte SYSTEM-Rechte erlangen, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit.

Betroffen

• Windows 10 Version 1607 und Windows Server 2016 (inklusive Server Core): Builds unterhalb von 10.0.14393.9688
• Windows 10 Version 1809 und Windows Server 2019 (inklusive Server Core): Builds unterhalb von 10.0.17763.9487
• Windows 10 Version 21H2 und 22H2: Builds unterhalb von 10.0.19044.7846 bzw. 10.0.19045.7846
• Windows 11 Version 23H2: Builds unterhalb von 10.0.22631.7711
• Windows 11 Version 24H2 und 25H2: Korrigierter Build für 25H2 ist 10.0.26200.9974; Build für 24H2 unbestätigt
• Windows 11 Version 26H1: Builds unterhalb von 10.0.28000.3501
• Windows 11 Version 26H2: Builds unterhalb von 10.0.26300.9974
• Windows Server 2022: Builds unterhalb von 10.0.20348.5870
• Windows Server 2025: unbestätigt

Behoben in

• Behoben mit den Sicherheitsupdates des Patch Tuesday vom November 2026 (veröffentlicht am 10. November 2026).
• Korrigierte Schwellenwerte laut CVE-Eintrag: 10.0.14393.9688 (1607/2016), 10.0.17763.9487 (1809/2019), 10.0.19044.7846 (21H2), 10.0.19045.7846 (22H2), 10.0.22631.7711 (23H2), 10.0.26100.9974 (24H2, unbestätigt), 10.0.26200.9974 (25H2), 10.0.28000.3501 (26H1), 10.0.26300.9974 (26H2), 10.0.20348.5870 (2022).
• Die Build-Nummern widersprechen sich zwischen den Quellen; vor dem Vertrauen auf die Angaben auf der MSRC-Seite prüfen.

Umgehung

Unbekannt. Es wurde keine Workaround- oder Mitigationsmassnahme des Herstellers gefunden. Das Sicherheitsupdate installieren.

Ausnutzung

• MSRC gibt an, dass kein öffentlich verfügbarer Exploit-Code existiert oder dass ein Exploit nur theoretisch ist.
• Rapid7 stuft die Ausnutzung als "More Likely" ein und meldet keine öffentliche Offenlegung.
• Eine Ausnutzung dieser CVE in freier Wildbahn wurde nicht gefunden; eine gemeldete ausgenutzte Schwachstelle im November-Release steht im Zusammenhang mit einer anderen Schwachstelle (Outlook-Spoofing).
• CVSS-Temporal-Vektor E:U (unbewiesen). CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• NVD-Status zum Analysezeitpunkt: Awaiting Analysis.

Unsere Empfehlung

• Das Sicherheitsupdate vom November 2026 auf allen betroffenen Systemen über Windows Update oder WSUS installieren und die Build-Nummer auf der MSRC-Seite überprüfen.
• Mehrbenutzer-Server, Terminal-/RDS-Server und Arbeitsstationen mit vielen lokalen Benutzern priorisieren und zuerst patchen.
• Lokales Risiko durch das Prinzip der minimalen Rechte und die Einschränkung lokaler Administratorrechte reduzieren.
• Auf ungewöhnliche Rechteänderungen oder neue SYSTEM-Prozesse auf betroffenen Hosts achten.
• NVD und CISA KEV auf Änderungen des Ausnutzungsstatus prüfen.
• Windows-10-Systeme unter Extended Security Updates sind eingeschlossen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide: CVE-2026-119992 msrc.microsoft.com
• CVE Record CVE-2026-119992 www.cve.org
• Rapid7: Patch Tuesday November 2026 www.rapid7.com
• Talos: Microsoft Patch Tuesday November 2026 blog.talosintelligence.com
• Strix: CVE-2026-119992 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 08:24.