Windows Device Association Service: Use-after-Free führt zur Rechteerweiterung

Zusammenfassung

Der Windows Device Association Service in mehreren Windows-10-, Windows-11- und Windows-Server-Versionen enthält eine Use-after-Free-Schwachstelle (CWE-416). Ein lokaler Angreifer mit niedrigen Rechten und einem berechtigten Konto kann sie ausnutzen, um erhöhte Rechte bis hin zu SYSTEM zu erlangen. Es ist keine Benutzerinteraktion nötig, und die Schwachstelle ist für sich allein nicht aus dem Internet erreichbar. Microsoft hat die Schwachstelle nicht als öffentlich bekannt gemacht, und es wurden keine Ausnutzungen gemeldet.

Betroffen

• Windows 10 Version 1809 und Windows Server 2019 (inklusive Server Core): 10.0.17763.0 bis vor 10.0.17763.9376
• Windows 10 Version 21H2: 10.0.19044.0 bis vor 10.0.19044.7807
• Windows 10 Version 22H2: 10.0.19045.0 bis vor 10.0.19045.7807
• Windows 11 Version 23H2: 10.0.22631.0 bis vor 10.0.22631.7652
• Windows 11 Version 24H2: 10.0.26100.0 bis vor 10.0.26100.9711
• Windows 11 Version 25H2: 10.0.26200.0 bis vor 10.0.26200.9711
• Windows 11 Version 26H1: 10.0.28000.0 bis vor 10.0.28000.3231
• Windows 11 Version 26H2: 10.0.26300.0 bis vor 10.0.26300.9711
• Windows Server 2022: 10.0.20348.0 bis vor 10.0.20348.5761
• Windows Server 2025 (inklusive Server Core): 10.0.26100.0 bis vor 10.0.26100.33650

Behoben in

• Windows 10 1809 / Server 2019: Build 10.0.17763.9376 oder neuer (Update-Paket laut Angaben KB5126651, nicht unabhängig verifiziert)
• Windows 10 21H2: 10.0.19044.7807 oder neuer
• Windows 10 22H2: 10.0.19045.7807 oder neuer
• Windows 11 23H2: 10.0.22631.7652 oder neuer
• Windows 11 24H2: 10.0.26100.9711 oder neuer
• Windows 11 25H2 und 26H2: 10.0.26200.9711 bzw. 10.0.26300.9711 oder neuer
• Windows 11 26H1: 10.0.28000.3231 oder neuer
• Windows Server 2022: 10.0.20348.5761 oder neuer
• Windows Server 2025: 10.0.26100.33650 oder neuer

Umgehung

• Ein Herstellerpatch ist verfügbar; die Installation ist die empfohlene Behebung.
• Nicht verifizierte Übergangsmassnahme eines Drittanbieter-Aggregators: Den Device Association Service deaktivieren oder einschränken, bis das Patchen möglich ist. Microsoft hat dies nicht bestätigt. Vorab prüfen, ob die Deaktivierung die Gerätekopplung auf Clients unterbricht.

Ausnutzung

• Microsoft führt die Schwachstelle als nicht öffentlich bekannt.
• CISA-SSVC-Bewertung: Ausnutzung none, automatisierbar no, technische Auswirkung total.
• In den geprüften Quellen wurde keine Ausnutzung in freier Wildbahn gefunden; kein öffentlicher Proof of Concept gefunden; kein Eintrag im CISA KEV gefunden.
• Das Ausnutzungsfeld von Microsoft konnte anhand der geprüften Quellen nicht bestätigt werden.

Unsere Empfehlung

• Das kumulative Update vom Oktober 2026 auf allen betroffenen Windows-10-, Windows-11- und Windows-Server-Systemen installieren; Priorität haben Mehrbenutzersysteme, Terminalserver, Kioske und Hosts mit 1809 bzw. Server 2019.
• Die Migration von Windows-10-1809-Systemen planen, die sich nicht patchen lassen.
• Lokale Anmeldungen auf gemeinsam genutzten Geräten einschränken und Konten mit lokalem Zugriff überprüfen.
• Den aktuellen NVD-Status der CVE bestätigen, da die Quellen unterschiedliche Daten angeben.
• Priorität: mittel.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Response Center: CVE-2026-85332 msrc.microsoft.com
• Microsoft Security Update Guide (en-US): CVE-2026-85332 msrc.microsoft.com
• Vulners NVD mirror: CVE-2026-85332 vulners.com
• Vulners Microsoft advisory mirror: MS:CVE-2026-85332 vulners.com
• OpenCVE: CVE-2026-85332 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 02:26.