Windows Active Directory Domain Services: Command Injection für Rechteausweitung

Zusammenfassung

Eine unzureichende Neutralisierung von Sonderzeichen in einem Befehl ('Command Injection') in Windows Active Directory Domain Services erlaubt einem berechtigten Angreifer, seine Rechte im Netzwerk zu erhöhen. Laut CVE-Eintrag benötigt der Angreifer ein Domänenkonto mit niedrigen Rechten, und eine Benutzerinteraktion ist erforderlich (CVSS 8.0). Das Risiko betrifft vor allem lokale Domänencontroller auf den betroffenen Windows-10-, Windows-11- und Windows-Server-Versionen.

Betroffen

• Windows 10 Version 1607 (Builds 10.0.14393.0 bis vor 10.0.14393.9688)
• Windows 10 Version 1809 (Builds 10.0.17763.0 bis vor 10.0.17763.9487)
• Windows 10 Version 21H2 (Builds 10.0.19044.0 bis vor 10.0.19044.7846)
• Windows 10 Version 22H2 (Builds 10.0.19045.0 bis vor 10.0.19045.7846)
• Windows 11 Version 23H2 (Builds 10.0.22631.0 bis vor 10.0.22631.7711)
• Windows 11 Version 24H2 (Builds 10.0.26100.0 bis vor 10.0.26100.9974)
• Windows 11 Version 25H2 (Builds 10.0.26200.0 bis vor 10.0.26200.9974)
• Windows 11 Version 26H1 (Builds 10.0.28000.0 bis vor 10.0.28000.3501)
• Windows 11 Version 26H2 (Builds 10.0.26300.0 bis vor 10.0.26300.9974)
• Windows Server 2016 inkl. Server Core (Builds 10.0.14393.0 bis vor 10.0.14393.9688)
• Windows Server 2019 inkl. Server Core (Builds 10.0.17763.0 bis vor 10.0.17763.9487)
• Windows Server 2022 (Builds 10.0.20348.0 bis vor 10.0.20348.5870)

Behoben in

• Das Sicherheitsupdate von Microsoft vom November 2026 für die betroffenen Windows-Versionen installieren.
• Behobene Builds gemäss CVE-Eintrag: 10.0.14393.9688, 10.0.17763.9487, 10.0.19044.7846, 10.0.19045.7846, 10.0.22631.7711, 10.0.26100.9974, 10.0.26200.9974, 10.0.28000.3501, 10.0.26300.9974, 10.0.20348.5870.
• Die Build-Nummern vor dem Rollout im MSRC-Advisory prüfen.

Umgehung

Unbekannt. In den Quellen wurde keine vom Hersteller veröffentlichte Umgehungsmassnahme gefunden. Das Sicherheitsupdate ist die dokumentierte Massnahme.

Ausnutzung

• Einschätzung der Ausnutzbarkeit durch Microsoft: Unbekannt.
• VulDB führt den Status als bestätigt, nennt aber keinen öffentlichen Exploit-Code.
• Senserva führt die CVE als nicht ausgenutzt (sekundäre Quelle).
• Für diese CVE wurde kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Das Sicherheitsupdate vom November 2026 zuerst auf allen Domänencontrollern installieren, danach auf weiteren betroffenen Windows-Systemen.
• Vor dem Rollout im MSRC-Advisory die endgültigen Build-Nummern prüfen.
• Domänenbenutzerkonten und privilegierte Gruppen überprüfen und nicht benötigte Konten entfernen.
• Sicherstellen, dass Domänencontroller nicht aus dem Internet erreichbar sind.
• Logs der Domänencontroller auf ungewöhnliche Aktivitäten überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide msrc.microsoft.com
• CVE.org CVE Record www.cve.org
• VulDB entry vuldb.com
• Senserva knowledge base senserva.com
• Strix.ai CVE entry www.strix.ai
• Zero Day Initiative November 2026 review www.zerodayinitiative.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 01:51.