Windows Trace Data Helper: Rechteerweiterung durch heap-basierten Pufferüberlauf

Zusammenfassung

Ein heap-basierter Pufferüberlauf in der Komponente Microsoft Trace Data Helper von Windows erlaubt einem berechtigten lokalen Benutzer eine Rechteerweiterung. Ein Angreifer benötigt ein bestehendes lokales Konto und muss Code auf dem betroffenen System ausführen, zum Beispiel über einen Phishing-Angriff oder Schadsoftware mit Standardkonto. Eine erfolgreiche Ausnutzung kann zur vollständigen Kontrolle über das System führen (Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit mit hoch bewertet). Die Schwachstelle ist für sich allein nicht aus dem Internet erreichbar.

Betroffen

• Windows 11 Version 24H2: 10.0.26100.0 bis vor 10.0.26100.9711
• Windows 11 Version 25H2: 10.0.26200.0 bis vor 10.0.26200.9711
• Windows 11 Version 26H1: 10.0.28000.0 bis vor 10.0.28000.3231
• Windows 11 Version 26H2: 10.0.26300.0 bis vor 10.0.26300.9711 (Build-Nummer der Fixversion aus einer Drittquelle, nicht durch den CNA-Eintrag bestätigt)
• Windows Server 2025 (inklusive Server-Core-Installation): 10.0.26100.0 bis vor 10.0.26100.33822 (nicht durch den primären Eintrag bestätigt)

Behoben in

• Behoben im Sicherheitsupdate von Microsoft vom 10. November 2026 (Patch Tuesday).
• Fixversionen: 10.0.26100.9711 (24H2), 10.0.26200.9711 (25H2), 10.0.28000.3231 (26H1), 10.0.26300.9711 (26H2, nicht verifiziert), 10.0.26100.33822 (Server 2025, nicht verifiziert).
• KB-Nummern: Unbekannt.

Umgehung

Unbekannt.

Ausnutzung

• Aktive Ausnutzung in freier Wildbahn: Nicht angegeben.
• Öffentlich verfügbarer Proof of Concept: Keiner gefunden.
• CISA SSVC: Ausnutzung none, nicht automatisierbar, total technische Auswirkung.
• CVSS-Temporalmetriken: Reifegrad des Exploit-Codes Unproven.

Unsere Empfehlung

• Die Windows-Sicherheitsupdates vom November 2026 auf betroffenen Windows-11- und Windows-Server-2025-Systemen installieren, mit Priorität auf Mehrbenutzersystemen, Terminal- oder RDS-Servern.
• Vor dem Rollout das MSRC-Advisory auf KB-Nummern, genaue Build-Versionen und allfällige Gegenmassnahmen prüfen.
• Lokale interaktive Anmeldungen auf gemeinsam genutzten Systemen einschränken und festlegen, wer nicht signierten Code ausführen darf.
• Endgeräte mit EDR oder vergleichbaren Werkzeugen auf Aktivitäten zur Rechteerweiterung überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-121681 msrc.microsoft.com
• CVE.org CNA record CVE-2026-121681 www.cve.org
• Strix: CVE-2026-121681 (third-party, partly unverified) www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 03:32.