Microsoft Windows PowerShell: Lokale Rechteausweitung über Link Following

Zusammenfassung

Eine Schwachstelle im Umgang mit symbolischen Links (CWE-59) in Windows PowerShell erlaubt einem Angreifer mit bereits vorhandenem lokalem Konto, die Rechte auf dem betroffenen Windows-System zu erhöhen. Der CVE-Eintrag stuft die Schwachstelle als hoch ein (CVSS 3.1 Basisscore 7.0), mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Ein Angriff erfordert lokalen Zugriff und eine gewisse Komplexität; das Risiko ist auf Mehrbenutzer-, Terminal-Server- und gemeinsam genutzten Systemen am höchsten.

Betroffen

• Windows 10 Version 1607 und Windows Server 2016 (inklusive Server Core): Builds vor 10.0.14393.9688
• Windows 10 Version 1809 und Windows Server 2019 (inklusive Server Core): Builds vor 10.0.17763.9487
• Windows 10 Version 21H2 und 22H2: Builds vor 10.0.19044.7846 bzw. 10.0.19045.7846
• Windows 11 Version 23H2: Builds vor 10.0.22631.7711
• Windows 11 Version 24H2 und 25H2: Builds vor 10.0.26100.9968 bzw. 10.0.26200.9968
• Windows 11 Version 26H1: Builds vor 10.0.28000.3501
• Windows 11 Version 26H2: Builds vor 10.0.26300.9968
• Windows Server 2022: Builds vor 10.0.20348.5870

Behoben in

Sicherheitsupdates vom 10. November 2026 (Patch Tuesday). Die fixen Builds gemäss CVE-Eintrag sind oben aufgeführt; der fixe Build pro Version sollte vor dem Rollout mit dem MSRC-Advisory bestätigt werden. Hotpatch-Geräte sollten KB5135385 prüfen.

Umgehung

Keine bekannte Workaround-Massnahme.

Ausnutzung

• Zum Zeitpunkt der Recherche ist keine Ausnutzung in freier Wildbahn bekannt.
• Kein öffentlicher Proof-of-Concept gefunden.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.

Unsere Empfehlung

• Das Cumulative Update (oder Hotpatch) vom November 2026 auf allen betroffenen Windows-Clients und -Servern installieren, zuerst auf Mehrbenutzer-, Terminal-Server- und Remote-Access-Systemen.
• Ältere Windows-10-Builds (1607, 1809, 21H2, 22H2) zuerst prüfen und sicherstellen, dass sie noch Sicherheitsupdates erhalten.
• Lokale interaktive Anmeldungen einschränken und festlegen, wer PowerShell-Skripte aus beschreibbaren oder gemeinsam genutzten Verzeichnissen ausführen darf.
• Den installierten Build mit dem MSRC-Advisory abgleichen und auf Ausnutzung überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-124224 msrc.microsoft.com
• CVE Record CVE-2026-124224 www.cve.org
• Microsoft KB5135385 hotpatch note support.microsoft.com
• Strix AI: CVE-2026-124224 (third-party mirror) www.strix.ai
• Senserva: KB5131096 CVE table senserva.com
• Rapid7: Patch Tuesday November 2026 review www.rapid7.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 08:17.