Windows PowerShell: Umgehung von Sicherheitsfunktionen durch Fehler im Schutzmechanismus

Zusammenfassung

Ein Fehler im Schutzmechanismus von Windows PowerShell erlaubt es einem berechtigten lokalen Benutzer, eine Sicherheitsfunktion zu umgehen. Der CVSS-Wert von 8.8 spiegelt eine Änderung des Schutzbereichs und hohe Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit wider. Der Angreifer benötigt ein gültiges lokales Konto mit niedrigen Rechten, daher ist die Lücke vor allem ein Folgeschritt nach einer anderen Kompromittierung, etwa durch Phishing oder ein gestohlenes Passwort.

Betroffen

• Windows 10 Version 1607 (10.0.14393.0 bis < 10.0.14393.9612)
• Windows Server 2016 (10.0.14393.0 bis < 10.0.14393.9612)
• Weitere Versionen von Windows 10, Windows 11 und Windows Server sind im offiziellen CVE-Eintrag und im MSRC-Advisory aufgeführt.

Behoben in

• Windows 10 Version 1607 und Windows Server 2016: Build 10.0.14393.9612 oder neuer, kumulatives Update vom Oktober 2026 KB5126868 (laut Rapid7; noch nicht auf MSRC bestätigt)
• Weitere betroffene Versionen: siehe MSRC-Advisory

Umgehung

Unbekannt. Es wurde kein vom Hersteller veröffentlichter Workaround gefunden.

Ausnutzung

• Nicht bekanntermassen in freier Wildbahn ausgenutzt.
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
• Nicht im CISA-KEV-Katalog aufgeführt.
• EPSS-Wert 0.00273 (sehr niedrig).
• In den geprüften Quellen wurde kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Die genaue Fix-Build-Version und KB-Nummer für Ihre Edition und Architektur im MSRC-Advisory prüfen.
• Das kumulative Update vom Oktober 2026 auf allen Windows-10-1607- und Windows-Server-2016-Systemen installieren und anschliessend neu starten.
• Ermitteln, welche 1607-Systeme noch im Einsatz sind, und eine Migration planen, da nach Ende des Supports keine Sicherheitsupdates mehr erscheinen.
• Lokale Konten auf diesen Hosts einschränken und auf öffentliche Proof-of-Concept-Exploits oder die Aufnahme in den KEV-Katalog überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-70185 msrc.microsoft.com
• Rapid7 vulnerability database: CVE-2026-70185 www.rapid7.com
• Vulners Microsoft CVE mirror: MS:CVE-2026-70185 vulners.com
• OpenCVE: CVE-2026-70185 app.opencve.io
• Vulmon: CVE-2026-70185 vulmon.com
• Vulners VulnRichment: CVE-2026-70185 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 18:54.