Microsoft Windows Server Update Service: Rechteausweitung

Zusammenfassung

Eine Schwachstelle in der Zugriffskontrolle von Windows Server Update Service (WSUS) erlaubt es einem Angreifer mit einem gültigen lokalen Konto mit niedrigen Rechten, höhere Rechte auf dem System zu erlangen. Der Angreifer benötigt zuerst lokalen Zugriff, zum Beispiel über Phishing oder Schadsoftware, die als Standardbenutzer läuft; die Schwachstelle kann nicht remote ausgenutzt werden. Microsoft hat Sicherheitsupdates für die betroffenen Windows-Client- und Serverversionen veröffentlicht, und der CNA-Eintrag nennt einen breiteren Versionsbereich als das CPE im Datensatz.

Betroffen

• Microsoft Windows 10 Version 1607 und 1809 (10.0.14393.0 bis < 10.0.14393.9612; 10.0.17763.0 bis < 10.0.17763.9376)
• Windows Server 2012 und 2012 R2, inklusive Server Core (6.2.9200.0 bis < 6.2.9200.26434; 6.3.9600.0 bis < 6.3.9600.23470)
• Windows Server 2016, 2019 und 2025, inklusive Server Core (10.0.14393.0 bis < 10.0.14393.9612; 10.0.17763.0 bis < 10.0.17763.9376; 10.0.26100.0 bis < 10.0.26100.33650)
• Windows Server 2022 (10.0.20348.0 bis < 10.0.20348.5761)
• Das CPE im Datensatz nennt nur Windows 10 1607.

Behoben in

• Microsoft-Sicherheitsupdates für die oben genannten betroffenen Versionen. Behobene Builds gemäss CNA-Eintrag: 10.0.14393.9612, 10.0.17763.9376, 6.2.9200.26434, 6.3.9600.23470, 10.0.20348.5761 und 10.0.26100.33650.
• Build-Nummern aus Sekundärquellen sind nicht bestätigt; vor dem Rollout im MSRC Security Update Guide und in den passenden KB-Artikeln prüfen.

Umgehung

• Microsoft dokumentiert keine Workaround-Massnahme; das Installieren des Sicherheitsupdates ist die Behebung.
• Ergänzende Härtung (nicht von Microsoft): Least Privilege für lokale Konten durchsetzen und den WSUS-Dienst nicht mit erhöhten Rechten betreiben.

Ausnutzung

• MSRC: nicht öffentlich bekannt, nicht ausgenutzt, Exploitability-Einschätzung 'Exploitation Less Likely'.
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
• EPSS ungefähr 0,003.
• Eine Preisschätzung für Exploits auf dem Broker-Markt bei VulDB ist kein Beleg für eine Ausnutzung.
• Kein öffentlicher Proof of Concept bekannt.

Unsere Empfehlung

• Zuerst WSUS-Server und andere Update-Infrastruktur patchen, danach Domänencontroller, Datei- und RDP-Server sowie die übrigen Clients.
• Alle Windows-10- und Windows-Server-2012-bis-2025-Systeme inventarisieren und deren Supportstatus prüfen.
• Lokale Konten und die Personen mit Standard-Anmeldungen auf betroffenen Systemen überprüfen.
• Auf unerwartete Rechteänderungen und neue lokale Administratoren achten.
• Das Patchen als Hauptmassnahme behandeln; Härtung ergänzt es nur.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide msrc.microsoft.com
• MSRC Security Update Guide (en-US) msrc.microsoft.com
• NVD via Vulners vulners.com
• CNA JSON via Vulners vulners.com
• VulDB vuldb.com
• OpenCVE app.opencve.io
• Vulners MSCVE vulners.com
• Strix CVE record www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 03:45.