Microsoft Windows 10 1607: Rechteerweiterung im EAPHost-Dienst

Zusammenfassung

Ein Out-of-Bounds-Write (CWE-787) im Windows-EAPHost-Dienst erlaubt einem berechtigten lokalen Benutzer, seine Rechte zu erweitern. Der CVSS-Vektor setzt lokalen Zugriff und ein Konto mit niedrigen Rechten voraus, ohne Benutzerinteraktion. Die Lücke ist nicht aus der Ferne ausnutzbar, doch ein kompromittiertes Benutzerkonto oder ein böswilliger Insider könnte nach einem ersten Zugriff SYSTEM-Rechte erlangen.

Betroffen

• Windows 10 Version 1607 (Enterprise LTSB 2016): Builds 10.0.14393.0 bis unter 10.0.14393.9612
• Windows Server 2016: Builds 10.0.14393.0 bis unter 10.0.14393.9612 (im CNA-Eintrag aufgeführt; durch MSRC zu bestätigen)
• Windows 10 Version 1809: Builds unter 10.0.17763.9376
• Windows 10 Version 21H2: Builds unter 10.0.19044.7807
• Windows 10 Version 22H2: Builds unter 10.0.19045.7807
• Windows 11 Version 23H2: Builds unter 10.0.22631.7652
• Windows 11 Version 24H2: Builds unter 10.0.26100.9711
• Windows 11 Version 25H2: Builds unter 10.0.26200.9711
• Windows 11 Version 26H1: Builds unter 10.0.28000.3231
• Windows 11 Version 26H2: Builds unter 10.0.26300.9711
• Windows Server 2012 (inkl. Server Core): Builds unter 6.2.9200.26434
• Windows Server 2012 R2 (inkl. Server Core): Builds unter 6.3.9600.23470

Behoben in

• Windows 10 1607 / Windows Server 2016: Build 10.0.14393.9612 (Oktober-2026-Update, KB5126868)
• Andere Versionen: Fixe Builds gemäss Abschnitt Betroffen, verteilt mit dem kumulativen Oktober-2026-Update
• Fixe Builds vor dem Rollout mit dem MSRC-Advisory abgleichen

Umgehung

Unbekannt. Es wurde kein Workaround des Herstellers gefunden.

• Lokale interaktive Anmeldungen auf betroffenen Systemen einschränken und nicht benötigte lokale Konten entfernen (dies reduziert die Exposition, behebt die Lücke aber nicht)

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
• CISA SSVC (CNA-Daten): Exploitation none, Automatable no, Technical Impact total.
• EPSS ca. 0,003.
• Kein öffentlicher Proof-of-Concept in einer begrenzten Suche gefunden; CISA KEV nicht direkt geprüft.

Unsere Empfehlung

• Alle Geräte mit Windows 10 1607 (LTSB 2016) und Windows Server 2016 inventarisieren.
• Diese Geräte ersetzen oder für Extended Security Updates (ESU) registrieren, falls ein Ersatz nicht rechtzeitig möglich ist; das Oktober-2026-Update könnte ohne ESU der letzte Sicherheitsfix für diesen Zweig sein.
• Das kumulative Oktober-2026-Update auf allen übrigen betroffenen Systemen installieren, nachdem das gemeldete Exchange-Server-Problem mit KB5126868 geprüft wurde.
• Lokale Anmeldungen auf betroffenen Systemen einschränken und auf Rechteerweiterungen überwachen.
• Aktuelle Windows-10/11- und Server-2022/2025-Systeme als routinemässigen Patch behandeln.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide: CVE-2026-84016 msrc.microsoft.com
• Microsoft release health: Windows 10 1607 and Windows Server 2016 learn.microsoft.com
• OpenCVE: CVE-2026-84016 app.opencve.io
• Vulners: CVE-2026-84016 vulners.com
• Vulners Rapid7: CVE-2026-84016 (EPSS) vulners.com
• VulDB: CVE-2026-84016 vuldb.com
• 4sysops: Windows 10 Enterprise LTSB 2016 end of support and ESU 4sysops.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 02:29.