Windows UPnP Device Host: Heap-basierter Pufferüberlauf ermöglicht lokale Rechteerweiterung

Zusammenfassung

Ein heap-basierter Pufferüberlauf (CWE-122) im Windows Universal Plug and Play (UPnP) Device Host erlaubt einem berechtigten lokalen Benutzer, seine Rechte zu erweitern. Ein erfolgreicher Angriff würde dem Angreifer die Kontrolle auf SYSTEM-Ebene auf dem betroffenen Host verschaffen (CVSS 3.1: 7.8, hoch). Der Angreifer benötigt ein gültiges Konto mit niedrigen Rechten auf dem Gerät und keine Benutzerinteraktion, daher handelt es sich um eine Rechteerweiterung nach einer Kompromittierung und nicht um einen Einstiegspunkt aus dem Internet.

Betroffen

• Windows 10 Version 1607 (Builds vor 10.0.14393.9612)
• Windows 10 Version 1809 (Builds vor 10.0.17763.9376)
• Windows 10 Version 21H2 (Builds vor 10.0.19044.7807)
• Windows 10 Version 22H2 (Builds vor 10.0.19045.7807)
• Windows 11 Versionen 23H2, 24H2, 25H2 und 26H2 (Builds vor den von Microsoft aufgeführten Fix-Builds)
• Windows 11 Version 26H1 (Builds vor 10.0.28000.3231)
• Windows Server 2012 und 2012 R2, inklusive Server-Core-Installationen (Builds vor 6.2.9200.26434 bzw. 6.3.9600.23470)
• Windows Server 2016 (Builds vor 10.0.14393.9612)

Behoben in

• Windows 10 Version 1607: 10.0.14393.9612
• Windows 10 Version 1809: 10.0.17763.9376
• Windows 10 Version 21H2: 10.0.19044.7807
• Windows 10 Version 22H2: 10.0.19045.7807 (gegen die MSRC-Tabelle prüfen, da sich die Quellen widersprechen)
• Windows Server 2016: 10.0.14393.9612
• Windows Server 2012 und 2012 R2: Fix-Builds siehe MSRC-Tabelle
• Die Korrekturen sind in den kumulativen Updates von Oktober 2026 von Microsoft enthalten. Die KB-Nummer für jeden Build ist hier nicht bestätigt.

Umgehung

Unbekannt. Microsoft beschreibt keine Workaround-Massnahme; das Einspielen des Patches ist die vorgesehene Massnahme.

• Drittanbieter-Empfehlung (nicht durch Microsoft bestätigt): Den Dienst UPnP Device Host (UPnPHost) auf Systemen deaktivieren, die keine UPnP-Geräteerkennung oder -steuerung benötigen.

Ausnutzung

• Microsoft: nicht öffentlich bekannt, nicht ausgenutzt, Ausnutzung wird als weniger wahrscheinlich eingestuft.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Nicht im CISA-KEV-Katalog aufgeführt. EPSS liegt unter 1%.
• Zum Zeitpunkt der Recherche wurde kein öffentlicher Proof of Concept und keine bestätigte Ausnutzung in freier Wildbahn gefunden.
• Einige Drittquellen klassifizieren die Schwachstelle als CWE-120 statt CWE-122.

Unsere Empfehlung

• Das kumulative Update von Oktober 2026 auf allen betroffenen Windows-Clients und -Servern installieren; Mehrbenutzersysteme, Terminal- oder RDS-Server und jeden noch genutzten Windows-10-1607-Host priorisieren.
• Prüfen, ob Windows 10 1607 auf Ihren Systemen noch mit Sicherheitsupdates versorgt wird oder nur über Extended Security Updates, und bei fehlender Versorgung eine Aktualisierung oder Ersetzung planen.
• Den Dienst UPnP Device Host auf Systemen deaktivieren, auf denen UPnP nicht benötigt wird.
• Endpunkte auf unerwartete Rechteänderungen und neue Prozesse mit SYSTEM-Rechten überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-85373 msrc.microsoft.com
• SentinelOne vulnerability database: CVE-2026-85373 www.sentinelone.com
• Vulners: CVE-2026-85373 vulners.com
• OpenCVE: CVE-2026-85373 app.opencve.io
• Strix: CVE-2026-85373 www.strix.ai
• VulDB: vuln 419193 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 02:12.