Windows Security Account Manager: Umgehung von Sicherheitsfunktionen durch Race Condition

Zusammenfassung

Microsoft hat in der Windows Security Account Manager Remote Protocol eine Race Condition vom Typ Time-of-Check Time-of-Use (TOCTOU) behoben. Ein Angreifer im Netzwerk ohne Berechtigungen und ohne Benutzerinteraktion könnte durch das Gewinnen eines Wettlaufs gegen die Prüfung des Systems eine Sicherheitsfunktion umgehen. Die Angriffskomplexität ist hoch, und die Auswirkung beschränkt sich auf die Integrität; Vertraulichkeit und Verfügbarkeit sind nicht betroffen.

Betroffen

• Windows 10 Version 1607, 1809, 21H2, 22H2
• Windows 11 Version 23H2, 24H2, 25H2, 26H1, 26H2
• Windows Server 2016 (inklusive Server-Core-Installation), 2019 (inklusive Server-Core-Installation), 2022

Build-Bereiche gemäss CVE-Eintrag.

Behoben in

• Windows 10 1607: 10.0.14393.9688
• Windows 10 1809: 10.0.17763.9487
• Windows 10 21H2: 10.0.19044.7846
• Windows 10 22H2: 10.0.19045.7846
• Windows 11 23H2: 10.0.22631.7711
• Windows 11 24H2: 10.0.26100.9974 (durch eine Sekundärquelle nicht bestätigt)
• Windows 11 25H2: 10.0.26200.9974
• Windows 11 26H1: 10.0.28000.3501
• Windows 11 26H2: 10.0.26300.9974
• Windows Server 2016: 10.0.14393.9688
• Windows Server 2019: 10.0.17763.9487
• Windows Server 2022: 10.0.20348.5870

Basierend auf dem CVE-Eintrag; im MSRC-Advisory überprüfen.

Umgehung

Unbekannt.

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn.
• Microsoft stuft die Ausnutzung als weniger wahrscheinlich ein; die Schwachstelle ist nicht öffentlich bekannt.
• CISA SSVC: Ausnutzung keine, nicht automatisierbar.
• Kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Das Sicherheitsupdate vom November 2026 bzw. die behobene Build-Version für Ihre Version auf allen betroffenen Systemen installieren. Domain Controller und aus dem Internet erreichbare Windows-Hosts priorisieren.
• Windows 10 1607 und 1809 werden nicht mehr im Mainstream-Support betreut; wo nötig für Extended Security Updates registrieren.
• Zugriff auf die SAM-Remote-Schnittstellen auf interne Netzwerke beschränken und am Perimeter blockieren.
• Behobene Builds vor dem Rollout im MSRC-Advisory überprüfen.
• NVD prüfen, sobald die Analyse abgeschlossen ist.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-122474 msrc.microsoft.com
• CVE Record CVE-2026-122474 www.cve.org
• Rapid7: Patch Tuesday November 2026 www.rapid7.com
• BleepingComputer: November 2026 Patch Tuesday www.bleepingcomputer.com
• Strix: CVE-2026-122474 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 15:12.