Microsoft Windows Filter Manager: Lokale Rechteausweitung über Use-after-free

Zusammenfassung

Eine Use-after-free-Schwachstelle in der Kernel-Komponente Windows Filter Manager erlaubt einem berechtigten lokalen Benutzer, seine Rechte zu erweitern. Ein Angreifer benötigt dafür ein gültiges Konto mit niedrigen Rechten oder bereits ausgeführten Code auf dem Host. Eine erfolgreiche Ausnutzung gibt die volle Kontrolle über das betroffene System (hohe Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit).

Betroffen

• Windows 10 Version 1607 (Server 2016): Builds vor 10.0.14393.9688
• Windows 10 Version 1809 (Server 2019): Builds vor 10.0.17763.9487
• Windows 10 Version 21H2: Builds vor 10.0.19044.7846
• Windows 10 Version 22H2: Builds vor 10.0.19045.7846
• Windows 11 Version 23H2: Builds vor 10.0.22631.7711
• Windows 11 Version 24H2: Builds vor 10.0.26100.9974
• Windows 11 Version 25H2: Builds vor 10.0.26200.9974
• Windows 11 Version 26H1: Builds vor 10.0.28000.3501
• Windows 11 Version 26H2: Builds vor 10.0.26300.9974
• Windows Server 2022: Builds vor 10.0.20348.5870
• Produktliste gemäss CNA-Eintrag; nicht vollständig gegen MSRC verifiziert, Windows Server 2025 nicht bestätigt.

Behoben in

• Behoben in den Sicherheitsupdates von Microsoft vom November 2026.
• Behobene Builds gemäss CNA-Eintrag entsprechen den oben aufgeführten Versionen.
• Genaue KB-Nummern pro Betriebssystem: siehe MSRC.

Umgehung

Unbekannt. Es wurde kein Workaround veröffentlicht. Das Einspielen des Patches ist die erwartete Massnahme.

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
• Der CVSS-Temporal-Vektor zeigt die Exploit-Reife als "Unproven" (E:U).
• Kein öffentlicher Proof-of-Concept gefunden.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.

Unsere Empfehlung

• Das kumulative Sicherheitsupdate vom November 2026 auf allen betroffenen Windows-10-, Windows-11- und Server-Systemen installieren; Mehrbenutzersysteme, Terminalserver (RDS) und gemeinsam genutzte Arbeitsstationen priorisieren.
• Hosts mit nicht mehr unterstützten Windows-10-Builds (1607, 1809) ersetzen oder aktualisieren.
• Lokale Anmelderechte einschränken und nicht benötigte lokale Konten prüfen.
• Auf kritischen Hosts auf verdächtige lokale Rechteausweitungen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE Record (CNA: Microsoft) www.cve.org
• MSRC Security Update Guide msrc.microsoft.com
• KB summary (third party, senserva.com) senserva.com
• Tenable November 2026 Patch Tuesday review www.tenable.com
• BleepingComputer November 2026 Patch Tuesday www.bleepingcomputer.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 03:32.