Windows 10 Version 1607: Use after free in LSASS ermöglicht Rechteerweiterung

Zusammenfassung

Eine Use-after-free-Schwachstelle im Windows Local Security Authority Subsystem Service (LSASS) auf Windows 10 Version 1607 und Windows Server 2016 erlaubt einem berechtigten lokalen Angreifer, seine Rechte zu erhöhen. Der Angreifer benötigt ein lokales Konto mit niedrigen Rechten und muss bereits Code auf dem System ausführen können. Microsoft hat die Lücke im Sicherheitsupdate vom Oktober 2026 behoben. CVSS 7.8 (hoch).

Betroffen

• Windows 10 Version 1607 (10.0.14393.0 bis unter 10.0.14393.9612)
• Windows Server 2016 und Server-Core-Installation (10.0.14393.0 bis unter 10.0.14393.9612)
• Weitere Builds von Windows 10, Windows 11 sowie Windows Server 2019/2022 sind im CNA-Eintrag aufgeführt.

Behoben in

• Windows 10 Version 1607 und Windows Server 2016: Build 10.0.14393.9612 oder neuer
• Bereitgestellt mit dem Sicherheitsupdate von Microsoft vom Oktober 2026
• Unbekannt: konkrete KB-Nummer für Windows 10 1607; Build vor dem Rollout auf der MSRC-Seite bestätigen

Umgehung

• Kein Workaround des Herstellers bekannt; Update einspielen.
• Allgemeine Härtung (nicht aus den Quellen): LSA-Schutz und Credential Guard aktivieren, sofern unterstützt, das Least-Privilege-Prinzip durchsetzen, EDR betreiben.

Ausnutzung

• Nicht im CISA-KEV-Katalog aufgeführt.
• CISA SSVC: Ausnutzung keine, nicht automatisierbar, technische Auswirkung total.
• EPSS ca. 0,3 % (0,00341 laut Vulnrichment; Rapid7 zeigt N/A).
• Bei der Recherche wurde kein öffentlicher Proof of Concept gefunden; das beweist jedoch nicht, dass keiner existiert.

Unsere Empfehlung

• Windows 10 1607 und Windows Server 2016 mit dem Oktober-2026-Update auf Build 10.0.14393.9612 oder neuer bringen.
• Systeme mit diesen Versionen inventarisieren und Server sowie administrative Arbeitsstationen priorisieren.
• LSA-Schutz und Credential Guard aktivieren, sofern unterstützt.
• Auf ungewöhnliche Rechteänderungen und neue lokale Administratorkonten überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-70015 msrc.microsoft.com
• VulnCheck/CVE List record (CVELIST) vulners.com
• NVD record (NVD) vulners.com
• Microsoft MSRC record (MS) vulners.com
• OpenCVE entry app.opencve.io
• Rapid7 vulnerability database entry www.rapid7.com
• GovCERT.HK alert www.govcert.gov.hk
• Vulnrichment record (EPSS and SSVC) vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 04:33.