Microsoft Windows AppX Deployment Extensions: Lokale Rechteausweitung

Zusammenfassung

Eine fehlende Berechtigungsprüfung (CWE-862) in der Komponente Windows AppX Deployment Extensions erlaubt einem lokalen Benutzer mit niedrigen Rechten, seine Berechtigungen auf dem System zu erweitern. Bei erfolgreicher Ausnutzung hat ein Angreifer hohe Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit, wobei der Scope verändert wird (CVSS 3.1: 8.8). Der Angreifer benötigt ein gültiges lokales Konto oder einen bestehenden Zugriff auf das Gerät; remote ist die Lücke nicht ausnutzbar.

Betroffen

• Windows 10 Version 21H2: 10.0.19044.0 bis vor 10.0.19044.7807
• Windows 10 Version 22H2: 10.0.19045.0 bis vor 10.0.19045.7807
• Windows 11 Version 23H2: 10.0.22631.0 bis vor 10.0.22631.7652
• Windows 11 Version 24H2: 10.0.26100.0 bis vor 10.0.26100.9711
• Windows 11 Version 25H2: 10.0.26200.0 bis vor 10.0.26200.9711
• Windows 11 Version 26H1: 10.0.28000.0 bis vor 10.0.28000.3231
• Windows 11 Version 26H2: 10.0.26300.0 bis vor 10.0.26300.9711
• Windows Server 2022: 10.0.20348.0 bis vor 10.0.20348.5761
• Windows Server 2025 (inklusive Server Core): 10.0.26100.0 bis vor 10.0.26100.33650

Behoben in

• Windows 10 Version 21H2: 10.0.19044.7807
• Windows 10 Version 22H2: 10.0.19045.7807
• Windows 11 Version 23H2: 10.0.22631.7652
• Windows 11 Version 24H2: 10.0.26100.9711
• Windows 11 Version 25H2: 10.0.26200.9711
• Windows 11 Version 26H1: 10.0.28000.3231
• Windows 11 Version 26H2: 10.0.26300.9711
• Windows Server 2022: 10.0.20348.5761
• Windows Server 2025: 10.0.26100.33650

Behoben in den Sicherheitsupdates von Microsoft vom Oktober 2026. KB-Artikelnummern: Unbekannt.

Umgehung

• Die Installation des Sicherheitsupdates vom Oktober 2026 behebt die Lücke; nach der Installation ist kein Workaround nötig.
• Das Deaktivieren oder Einschränken des Dienstes AppX Deployment Extensions, sofern er nicht benötigt wird, wird in Drittquellen vorgeschlagen; herstellerspezifische Schritte: Unbekannt.

Ausnutzung

• Microsoft stuft die Reife des Exploit-Codes als Unproven ein.
• CISA SSVC: Exploitation none, Automatable no; nicht im KEV-Katalog gelistet.
• EPSS liegt bei etwa 0,28 Prozent.
• Bei der begrenzten Recherche wurden kein öffentlicher Proof-of-Concept und keine Ausnutzung in freier Wildbahn gefunden.

Unsere Empfehlung

• Das kumulative Sicherheitsupdate vom Oktober 2026 auf allen betroffenen Windows-10- und Windows-11-Arbeitsstationen sowie Windows-Server-Systemen über WSUS, Intune oder Ihr RMM-Tool installieren.
• Zuerst prüfen, ob Windows-10-21H2-Geräte im Einsatz sind; diese Version ist nicht mehr im Mainstream-Support, daher ESU-Registrierung bestätigen oder einen Upgrade planen, um diese Korrektur zu erhalten.
• Gemeinsam genutzte PCs, nicht verwaltete Geräte und Terminalserver priorisieren, da ein Phishing- oder Malware-Vorfall dort zu einer vollständigen lokalen Kontrolle eskalieren könnte.
• Die Endpoint-Erkennung auf verdächtige Rechteänderungen überwachen und das Advisory auf öffentlichen Exploit-Code oder einen KEV-Eintrag prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-69945 msrc.microsoft.com
• NVD data mirrored by Vulners vulners.com
• OpenCVE: CVE-2026-69945 app.opencve.io
• Strix: CVE-2026-69945 www.strix.ai
• Rapid7 via Vulners: CVE-2026-69945 (EPSS) vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 19:04.