Windows Credential Guard: Spoofing durch fehlende Authentifizierung

Zusammenfassung

Eine kritische Funktion in Windows Credential Guard verfügt über keine Authentifizierung, sodass ein lokaler Angreifer Spoofing durchführen kann. Der Angreifer benötigt ein gültiges Konto mit niedrigen Berechtigungen auf dem System, und es ist keine Benutzerinteraktion nötig. Microsoft bewertet die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit als hoch, mit verändertem Scope, und gibt einen Basiswert von 8.8 an (der CVE-Datensatz zeigt 7.8). Die Schwachstelle ist nicht aus dem Internet erreichbar, ist aber nach einer Kompromittierung relevant, zum Beispiel für laterale Bewegungen.

Betroffen

• Windows 10 Version 1809 und Windows Server 2019 (inklusive Server Core): Builds unterhalb von 10.0.17763.9376
• Windows 10 Version 21H2: Builds unterhalb von 10.0.19044.7807
• Windows 10 Version 22H2: Builds unterhalb von 10.0.19045.7807
• Windows 11 23H2: Builds unterhalb von 10.0.22631.7652
• Windows 11 24H2: Builds unterhalb von 10.0.26100.9711
• Windows 11 25H2: Builds unterhalb von 10.0.26200.9711
• Windows 11 26H1: Builds unterhalb von 10.0.28000.3231
• Windows 11 26H2: Builds unterhalb von 10.0.26300.9711
• Windows Server 2022: Builds unterhalb von 10.0.20348.5761
• Windows Server 2025 (inklusive Server Core): Builds unterhalb von 10.0.26100.33650

Behoben in

• Windows 10 1809 und Windows Server 2019: Build 10.0.17763.9376 oder neuer, voraussichtlich im kumulativen Update vom Oktober 2026
• Das Update KB5126651 wird von Drittquellen genannt, ist auf der MSRC-Seite aber nicht bestätigt. Vor der Verteilung prüfen.
• Windows 10 22H2: Der korrigierte Build ist nicht bestätigt, da eine Quelle den Wert von 21H2 angibt. Die MSRC-Meldung prüfen.

Umgehung

Unbekannt. Es wurde keine Workaround- oder Mitigationsmassnahme des Herstellers gefunden. Das Update einspielen.

Ausnutzung

• Microsoft gibt an, dass die Schwachstelle nicht öffentlich bekannt ist und nicht als ausgenutzt gilt.
• SSVC-Daten im NVD-Datensatz: Ausnutzung none, automatisierbar no.
• Es wurden kein öffentlicher Proof of Concept und kein Eintrag im CISA-KEV-Katalog gefunden. Dies basiert auf begrenzten Recherchen.

Unsere Empfehlung

• Das kumulative Update vom Oktober 2026 auf betroffenen Systemen installieren, nachdem der korrigierte Build in der MSRC-Meldung geprüft wurde.
• Server und Admin-Arbeitsstationen mit aktiviertem Credential Guard priorisieren.
• Prüfen, ob Systeme mit Windows 10 1809 noch unterstützt sind (LTSC- oder Server-2019-Lebenszyklus).
• CVE-2026-70578, das dieselbe Komponente betrifft, im gleichen Wartungsfenster prüfen.
• Authentifizierungsprotokolle bis zur vollständigen Installation auf ungewöhnliche Aktivitäten überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-70580 msrc.microsoft.com
• NVD mirror on Vulners vulners.com
• OpenCVE: CVE-2026-70580 app.opencve.io
• Strix CVE listing www.strix.ai
• Tenable plugin changelog 365470 www.tenable.com
• Related: CVE-2026-70578 on Vulners vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 03:46.