Windows Ancillary Function Driver for WinSock: Lokale Rechteerweiterung

Zusammenfassung

Ein Type-Confusion-Fehler (CWE-843) im Windows Ancillary Function Driver for WinSock, einem Bestandteil des Windows-Netzwerkstacks, erlaubt einem berechtigten lokalen Benutzer, seine Rechte zu erweitern. Eine erfolgreiche Ausnutzung kann einem Angreifer die volle Kontrolle über das betroffene System verschaffen (CVSS 7.8, hohe Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit). Der Angreifer benötigt einen lokalen Zugriff mit niedrigen Rechten und ist nicht direkt aus dem Internet erreichbar. Unter anderem sind Windows 10 Version 1607 und Windows Server 2016 betroffen.

Betroffen

• Windows 10 Version 1607 (Build 10.0.14393.0 vor 10.0.14393.9612)
• Windows Server 2016 (Build 10.0.14393.0 vor 10.0.14393.9612)
• Windows 10 Version 1809 (vor 10.0.17763.9376)
• Windows 10 Version 21H2 (vor 10.0.19044.7807)
• Windows 10 Version 22H2 (vor 10.0.19045.7807)
• Windows 11 Version 23H2 (vor 10.0.22631.7652)
• Windows 11 Version 24H2 (vor 10.0.26100.9711)
• Windows 11 Version 25H2 (vor 10.0.26200.9711)
• Windows 11 Version 26H1 (vor 10.0.28000.3231)
• Windows 11 Version 26H2 (vor 10.0.26300.9711)
• Windows Server 2012 und 2012 R2 (genaue Builds siehe MSRC)

Behoben in

• Windows 10 Version 1607 und Server 2016: 10.0.14393.9612 oder neuer
• Andere Versionen: der jeweils oben genannte Build oder neuer
• Gemäss Angaben als Teil des Oktober-2026-Sicherheitsupdates KB5126868 für Windows 10 1607 (nicht gegen MSRC verifiziert)

Umgehung

Unbekannt. Ein Drittanbieter-Aggregator schlägt vor, den Treiber zu deaktivieren. Dies ist nicht verifiziert und würde voraussichtlich die Netzwerkverbindung unterbrechen. Ohne Tests und Bestätigung des Herstellers nicht anwenden.

Ausnutzung

• CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total
• Nicht im CISA-KEV-Katalog aufgeführt (gemäss Drittanbieter-Aggregator)
• Kein öffentlicher Proof of Concept und keine Ausnutzung in freier Wildbahn gefunden (nicht bestätigt, dass es keine gibt)

Unsere Empfehlung

• Alle Windows-Systeme inventarisieren, insbesondere Windows 10 1607 und Server 2016.
• Das Sicherheitsupdate vom Oktober 2026 nach einem Pilottest installieren.
• Migration weg von Windows 10 Enterprise LTSB 2016 planen, das am 13. Oktober 2026 das Ende der Updates erreicht hat, oder Extended Security Updates für Systeme budgetieren, die nicht gepatcht werden können.
• Lokale Codeausführung mit niedrigen Rechten einschränken und auf verdächtige lokale Rechteänderungen überwachen.
• Die Tabelle der betroffenen Versionen auf der MSRC-Seite prüfen, bevor man sich darauf verlässt.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-70225 msrc.microsoft.com
• Windows 10 1607 and Windows Server 2016 release health learn.microsoft.com
• NVD record mirror (Vulners) vulners.com
• OpenCVE CVE-2026-70225 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 03:57.