Microsoft PowerShell: Informationsoffenlegung über Referenz auf externe XML-Entitäten

Zusammenfassung

Eine Schwachstelle in Microsoft PowerShell 7.6 und 7.7 erlaubt einem nicht authentifizierten Angreifer aus dem Netzwerk, Informationen offenzulegen. Gemäss CVE-Eintrag ist der Angriff schwer durchzuführen, erfordert eine Benutzerinteraktion und betrifft nur die Vertraulichkeit. Die Beschreibung nennt die Verarbeitung externer XML-Entitäten (XXE), die Schwachstellenklassifikation ist jedoch noch umstritten (CWE-522 im CVE-Eintrag, CWE-611 laut VulDB).

Betroffen

• Microsoft PowerShell 7.6: 7.6.0 bis vor 7.6.10
• Microsoft PowerShell 7.7: Bereich mit 1.0.0 bis vor 7.7.0 angegeben (untere Grenze nicht verifiziert)
• Windows PowerShell 5.1: Unbekannt.

Behoben in

• PowerShell 7.6.10 und 7.7.0 wurden am 10. Nov 2026 veröffentlicht. Der Zusammenhang dieser Versionen mit dieser CVE ist abgeleitet und nicht bestätigt.
• Die korrigierten Versionen und KB-Nummern in der Herstellerinformation bestätigen. Bis zur Bestätigung unbekannt.

Umgehung

Unbekannt. In keiner Quelle wurde eine Gegenmassnahme gefunden.

Ausnutzung

• Rapid7 stuft die Schwachstelle als 'Exploitation Less Likely' ein und sie ist nicht öffentlich bekannt.
• Gemäss einer Sekundärquelle nicht im CISA-KEV-Katalog aufgeführt; der CISA-Katalog wurde nicht direkt geprüft.
• CISA SSVC: keine Ausnutzung, nicht automatisierbar, partielle technische Auswirkung.
• Kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Eigenständige PowerShell-7-Installationen im regulären Patch-Zyklus auf 7.6.10 oder 7.7.0 oder neuer aktualisieren. Priorisieren Sie Administrations-Arbeitsstationen und Server, die XML aus unvertrauenswürdigen Quellen verarbeiten.
• PowerShell 7.4 und 7.5, deren Support am 10. Nov 2026 endete, unabhängig von dieser CVE aktualisieren.
• Die betroffenen und korrigierten Versionen in der Herstellerinformation prüfen, bevor man sich auf die CWE-Angabe verlässt.
• Prüfen, ob Windows PowerShell 5.1 im Einsatz ist, und die Herstellerinformation auf Aktualisierungen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide (CVE-2026-121675) msrc.microsoft.com
• CVE Record CVE-2026-121675 www.cve.org
• VulDB CVE-2026-121675 vuldb.com
• Rapid7 Patch Tuesday November 2026 www.rapid7.com
• PowerShell v7.6.10 release notes github.com
• PowerShell support lifecycle learn.microsoft.com
• Strix summary CVE-2026-121675 www.strix.ai
• Full Disclosure 2016 PowerShell XXE report (older, unconfirmed relation) seclists.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 14:32.