Microsoft Windows 10 1607: Lokale Rechteerweiterung in WSUS-Komponente

Zusammenfassung

Eine Schwachstelle in einer Komponente des Windows Server Update Service (WSUS) von Windows 10 Version 1607 und Windows Server 2016 (Build 14393) erlaubt einem berechtigten lokalen Benutzer, höhere Rechte zu erlangen. Der Angreifer benötigt ein gültiges Konto mit niedrigen Rechten auf dem System, und der CVSS-Vektor setzt keinen Netzwerkzugriff voraus. Der Advisory-Text lässt offen, ob die Schwachstelle nur die WSUS-Serverrolle oder auch Client-Systeme betrifft.

Betroffen

• Windows 10 Version 1607 (x86 und x64): Builds unterhalb 10.0.14393.9612
• Windows Server 2016 und Server-Core-Installation: Builds unterhalb 10.0.14393.9612
• Windows 10 Version 1809: Builds unterhalb 10.0.17763.9376
• Windows Server 2019 und Server-Core-Installation: Builds unterhalb 10.0.17763.9376
• Windows Server 2012 und Server-Core-Installation: Builds unterhalb 6.2.9200.26434
• Windows Server 2012 R2 und Server-Core-Installation: Builds unterhalb 6.3.9600.23470
• Windows Server 2022: Builds unterhalb 10.0.20348.5761
• Windows Server 2025 und Server-Core-Installation: Builds unterhalb 10.0.26100.33650

Behoben in

• Windows 10 1607 und Windows Server 2016: Build 10.0.14393.9612 oder höher, bereitgestellt durch KB5126868 (13. Oktober 2026)
• Spätere Aktualisierung KB5134123 vom Oktober 2026 (Build 14393.9615) für Windows 10 1607 (nicht gegen den Advisory-Wortlaut geprüft)
• Andere aufgeführte Produkte: Fixes gemäss den betroffenen Versionsbereichen (nicht einzeln geprüft)

Umgehung

Unbekannt. Es wurde kein Workaround des Herstellers gefunden. Eine Drittquelle empfiehlt, das Prinzip der minimalen Rechte für lokale Konten durchzusetzen, die den Update-Dienst nutzen könnten; dies ist jedoch keine Herstellerempfehlung.

Ausnutzung

• Microsoft stuft die Reife des Exploit-Codes als Unproven ein
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total
• Zum Zeitpunkt der Recherche nicht im CISA-KEV-Katalog aufgeführt
• Kein öffentlicher Proof of Concept und keine Ausnutzung in freier Wildbahn gefunden; dies beweist jedoch nicht, dass keiner existiert

Unsere Empfehlung

• Alle Windows-10-1607- und Windows-Server-2016-Systeme (Build 14393) identifizieren und prüfen, ob die WSUS-Rolle installiert ist
• KB5126868 oder die spätere Aktualisierung vom Oktober 2026 installieren und anschliessend prüfen, ob der Build mindestens 10.0.14393.9612 ist
• Lokale Konten und WSUS-Administratorrechte überprüfen
• Migration weg von Windows 10 1607 (LTSB 2016, seit 13. Oktober 2026 ohne Updates) und Windows Server 2016 (erweiterter Support endet am 12. Januar 2027) planen
• CISA KEV und öffentliche Exploit-Quellen auf Veränderungen überwachen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-83499 msrc.microsoft.com
• KB5126868: Windows 10 1607 security update support.microsoft.com
• Windows 10 1607 and Windows Server 2016 release health status learn.microsoft.com
• CVE record via Vulners (CVELIST) vulners.com
• NVD record via Vulners vulners.com
• OpenCVE CVE-2026-83499 (third-party) app.opencve.io
• Windows Server 2016 (Wikipedia) en.wikipedia.org
• Windows 10 version history (Wikipedia) en.wikipedia.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 03:43.