Windows NTLM: Offenlegung sensibler Informationen ermöglicht Spoofing

Zusammenfassung

Windows-Clients und -Server, die NTLM zur Authentifizierung verwenden, sind von CVE-2026-121680 betroffen. Ein nicht autorisierter Angreifer im Netzwerk kann die Offenlegung sensibler Informationen in NTLM ausnutzen, um Spoofing durchzuführen, was hauptsächlich zur Offenlegung von Zugangsdaten führt. Es sind keine Berechtigungen erforderlich, und der CVSS-Vektor geht von keiner Benutzerinteraktion aus; dies ist die Einschätzung des Herstellers und nicht unabhängig verifiziert.

Betroffen

• Windows 10 Version 1607 und Windows Server 2016 (inklusive Server Core): Builds vor 10.0.14393.9688
• Windows 10 Version 1809 und Windows Server 2019 (inklusive Server Core): Builds vor 10.0.17763.9487
• Windows 10 Version 21H2: Builds vor 10.0.19044.7846
• Windows 10 Version 22H2: Builds vor 10.0.19045.7846
• Windows 11 Version 23H2: Builds vor 10.0.22631.7711
• Windows 11 Version 24H2: Builds vor 10.0.26100.9974
• Windows 11 Version 25H2: Builds vor 10.0.26200.9974
• Windows 11 Version 26H1: Builds vor 10.0.28000.3501
• Windows 11 Version 26H2: Builds vor 10.0.26300.9974
• Windows Server 2022: Builds vor 10.0.20348.5870

Behoben in

• Kumulatives Update, das jedes Produkt auf die aufgeführte Build-Nummer oder höher bringt
• KB-Nummern: Unbekannt, siehe das MSRC-Advisory

Umgehung

Unbekannt.

Ausnutzung

• Keine Ausnutzung in freier Wildbahn und kein öffentlicher Proof of Concept in den geprüften Quellen gefunden
• CVSS-Temporal-Metrik E:U (Unproven exploit maturity, nicht nachgewiesene Exploit-Reife)
• Ob MSRC eine Ausnutzung kennzeichnet: Unbekannt

Unsere Empfehlung

• Clients und Server, die noch im Support sind, auf die aufgeführten Builds oder höher patchen, zuerst Domain Controller und Dateiserver
• Prüfen, ob ein System einen veralteten Build oder eine nicht mehr unterstützte Windows-Version verwendet, und diese separat planen
• Ausgehendes SMB (TCP 445) sowie HTTP/WebDAV-Authentifizierung ins Internet an der Firewall blockieren
• NTLM wo möglich einschränken und NTLM-Auditing aktivieren, um die Nutzung zu überwachen
• MSRC-Advisory auf KB-Nummern, Massnahmen und Ausnutzungsstatus erneut prüfen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide: CVE-2026-121680 msrc.microsoft.com
• CVE.org record CVE-2026-121680 www.cve.org
• strix.ai: CVE-2026-121680 (secondary mirror) www.strix.ai
• Dark Reading: NTLM flaw exploited by multiple groups (context on CVE-2025-24054) www.darkreading.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 05:21.