Windows Performance Monitor: Codeinjektion ermöglicht lokale Rechteerweiterung

Zusammenfassung

Der Windows Performance Monitor enthält eine Codeinjektions-Schwachstelle (CWE-94), die einem berechtigten lokalen Benutzer eine Rechteerweiterung ermöglicht. Für den Angriff ist ein gültiges lokales Konto mit niedrigen Rechten nötig, eine Benutzerinteraktion ist nicht erforderlich; der CVSS-Score beträgt 7.8 (hoch) mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Betroffen sind unterstützte Builds von Windows 10, Windows 11 sowie Windows Server 2012, 2012 R2 und 2016, und Microsoft hat ein Sicherheitsupdate veröffentlicht.

Betroffen

• Windows 10 Version 1607 und Windows Server 2016: 10.0.14393.0 bis unter 10.0.14393.9612
• Windows 10 Version 1809 und Windows Server 2019 (nicht im offiziellen Eintrag aufgeführt; siehe Research-Notizen): 10.0.17763.0 bis unter 10.0.17763.9376
• Windows 10 Version 21H2: 10.0.19044.0 bis unter 10.0.19044.7807
• Windows 10 Version 22H2: 10.0.19045.0 bis unter 10.0.19045.7807
• Windows 11 Version 23H2: 10.0.22631.0 bis unter 10.0.22631.7652
• Windows 11 Version 24H2: 10.0.26100.0 bis unter 10.0.26100.9711
• Windows 11 Version 25H2: 10.0.26200.0 bis unter 10.0.26200.9711
• Windows 11 Version 26H1: 10.0.28000.0 bis unter 10.0.28000.3231
• Windows 11 Version 26H2: 10.0.26300.0 bis unter 10.0.26300.9711
• Windows Server 2012 (inklusive Server Core): 6.2.9200.0 bis unter 6.2.9200.26434
• Windows Server 2012 R2 (inklusive Server Core): 6.3.9600.0 bis unter 6.3.9600.23470

Behoben in

• Das Microsoft-Sicherheitsupdate für den betroffenen Build installieren, mit einer Build-Nummer mindestens gleich den unter Betroffen aufgeführten Schwellenwerten.
• Windows 10 1607 und Windows Server 2016: 10.0.14393.9612 oder neuer. Die KB-Nummer ist unbekannt.
• Windows 10 1809 und Windows Server 2019: 10.0.17763.9376 oder neuer (laut Research-Notizen KB5126651).

Umgehung

Unbekannt. In den geprüften Quellen wurde kein Workaround gefunden. Die Schwachstellen-Seite des Microsoft Security Update Guide auf Zwischenmassnahmen prüfen.

Ausnutzung

• CISA KEV: nicht gelistet.
• Öffentlicher Proof of Concept: in den geprüften Quellen keiner gefunden; dies beweist jedoch nicht, dass keiner existiert.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• EPSS 0.00745, eine geringe prognostizierte Ausnutzungswahrscheinlichkeit.

Unsere Empfehlung

• Das Microsoft-Sicherheitsupdate vom Oktober 2026 über Windows Update oder WSUS auf allen betroffenen Systemen einspielen, zuerst auf Mehrbenutzer-, RDS- und Terminalservern.
• Windows 10 1607 und Windows Server 2016 Systeme identifizieren, deren Supportstatus prüfen und klären, ob Extended Security Updates gelten, bevor man sich auf den Patch verlässt.
• Bis zum Patch lokale interaktive Anmeldungen auf die benötigten Benutzer beschränken und auf unerwartete erhöhte Kindprozesse überwachen.
• Die betroffenen Build-Bereiche vor dem Rollout im Microsoft Security Update Guide verifizieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-85359 msrc.microsoft.com
• NVD mirror data (Vulners) vulners.com
• OpenCVE: CVE-2026-85359 app.opencve.io
• Tenable plugin 365473 www.tenable.com
• Rapid7 EPSS data (Vulners) vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 02:18.