Microsoft Windows: Rechteausweitung durch Race Condition im Overlay Filter

Zusammenfassung

Eine Race Condition (CWE-362) im Windows Overlay Filter erlaubt einem lokal berechtigten Benutzer, auf dem betroffenen System höhere Rechte zu erlangen. Für die Ausnutzung sind lokaler Zugriff, eine hohe Angriffskomplexität und niedrige Berechtigungen nötig; eine Benutzerinteraktion ist nicht erforderlich. Die Schwachstelle ist nicht aus der Ferne ausnutzbar und ist vor allem nach einer bereits erfolgten Kompromittierung relevant, etwa durch Phishing, Schadsoftware oder einen gemeinsam genutzten Terminalserver.

Betroffen

• Windows 10 Version 1607 (10.0.14393.0 vor 10.0.14393.9688)
• Windows 10 Version 1809 (10.0.17763.0 vor 10.0.17763.9487)
• Windows 10 Version 21H2 (10.0.19044.0 vor 10.0.19044.7846)
• Windows 10 Version 22H2 (10.0.19045.0 vor 10.0.19045.7846)
• Windows 11 Version 23H2 (10.0.22631.0 vor 10.0.22631.7711)
• Windows 11 Version 24H2 (10.0.26100.0 vor 10.0.26100.9974)
• Windows 11 Version 25H2 (10.0.26200.0 vor 10.0.26200.9974)
• Windows 11 Version 26H1 (10.0.28000.0 vor 10.0.28000.3501)
• Windows 11 Version 26H2 (10.0.26300.0 vor 10.0.26300.9974)
• Windows Server 2016, inklusive Server Core (10.0.14393.0 vor 10.0.14393.9688)
• Windows Server 2019, inklusive Server Core (10.0.17763.0 vor 10.0.17763.9487)
• Windows Server 2022 (10.0.20348.0 vor 10.0.20348.5870)
• Windows Server 2025: betroffener Build-Bereich unbestätigt, die Quellen widersprechen sich

Behoben in

• Installieren Sie das aktuelle Microsoft-Sicherheitsupdate für jede betroffene Windows-Version (Oktober 2026 oder neuer).
• Erwartete korrigierte Builds: 10.0.14393.9688, 10.0.17763.9487, 10.0.19044.7846, 10.0.19045.7846, 10.0.22631.7711, 10.0.26100.9974, 10.0.26200.9974, 10.0.28000.3501, 10.0.26300.9974, 10.0.20348.5870.
• Windows Server 2025: korrigierter Build unbestätigt (Quellen nennen 10.0.26100.33650 oder 10.0.26100.33822). Auf MSRC prüfen.
• Die korrigierten Builds stammen aus dem CVE-Eintrag und aus Sekundärquellen; vor dem Einsatz auf MSRC verifizieren.

Umgehung

Unbekannt. Es wurde kein vom Hersteller dokumentierter Workaround gefunden. Das Einspielen von Updates ist die einzige bestätigte Behebung.

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn.
• Kein öffentlicher Proof of Concept in einer begrenzten Recherche gefunden.
• CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Der EPSS-Wert ist niedrig (0.00207 für die verwandte CVE-2026-83879).
• Der CVSS-Vektor stuft die Ausnutzungsreife als unbewiesen ein.

Unsere Empfehlung

• Patchen Sie alle Windows-Systeme auf das aktuelle kumulative Update, zuerst Mehrbenutzersysteme, Terminal- und RDS-Server sowie Server.
• Prüfen Sie Windows 10 1607, 1809 und 21H2 sowie Windows Server 2016 und 2019. Klären Sie, ob erweiterte Sicherheitsupdates für diese Versionen verfügbar und nötig sind.
• Beschränken Sie lokale Konten und Administratorrechte und überwachen Sie ungewöhnliche Rechteänderungen.
• Prüfen Sie die genauen korrigierten Builds auf MSRC, sobald das Advisory gesichtet wurde.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-121670 msrc.microsoft.com
• CVE.org record CVE-2026-121670 www.cve.org
• Strix: CVE-2026-121670 www.strix.ai
• SonicWall: Microsoft security bulletin coverage for October 2026 www.sonicwall.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 08:23.