Windows Print Spooler: Rechteerweiterung

Zusammenfassung

Schwache Authentifizierung in den Windows Print Spooler Components erlaubt einem berechtigten lokalen Angreifer, seine Rechte zu erweitern. Der Angriff ist nur lokal möglich und setzt voraus, dass der Angreifer bereits Zugriff auf das Gerät hat, beispielsweise über ein Phishing-Konto eines Standardbenutzers oder über Schadsoftware. NVD und der CVE-Eintrag bewerten die Schwere mit CVSS 7.8 (hoch), bei einer Ausnutzung mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit.

Betroffen

• Windows 10 Version 1607 (Builds unter 10.0.14393.9612)
• Windows Server 2016 (Builds unter 10.0.14393.9612)
• Windows 10 Version 1809 (Builds unter 10.0.17763.9376)
• Windows 10 Version 21H2 (Builds unter 10.0.19044.7807)
• Windows 10 Version 22H2 (Builds unter 10.0.19045.7807)
• Windows 11 Version 23H2 (Builds unter 10.0.22631.7652)
• Windows 11 Version 24H2 (Builds unter 10.0.26100.9711)
• Windows 11 Version 25H2 (Builds unter 10.0.26200.9711)
• Windows 11 Version 26H1 (Builds unter 10.0.28000.3231)
• Windows 11 Version 26H2 (Builds unter 10.0.26300.9711)
• Windows Server 2012 und 2012 R2 (Builds unter 6.2.9200.26434 bzw. 6.3.9600.23470)

Behoben in

• Windows 10 1607 und Server 2016: Build 10.0.14393.9612
• Weitere aufgeführte Versionen: siehe betroffene Builds oben (korrigierte Builds sind die ersten nicht als betroffen aufgeführten Builds)
• Update-Paket: kumulatives Update vom Oktober 2026; Tenable ordnet KB5126868 diesem CVE für Windows 10 1607 und Server 2016 zu (KB-Nummer auf MSRC noch nicht verifiziert)

Umgehung

• Kein separater Workaround des Herstellers bestätigt.
• Wenn der Print Spooler nicht benötigt wird, den Dienst Print Spooler beenden und deaktivieren, um die Angriffsfläche zu entfernen. Auf Servern ist dies unter Umständen nicht praktikabel, wenn Druckdienste benötigt werden.

Ausnutzung

• CISA SSVC-Daten: Ausnutzung 'none', automatisierbar 'no'.
• Laut OpenCVE nicht im Katalog Known Exploited Vulnerabilities der CISA enthalten.
• VulDB gibt an, dass kein Exploit verfügbar ist.
• Kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Alle Windows-10-1607- und Server-2016-Systeme sowie weitere betroffene Windows-Builds inventarisieren.
• Das kumulative Update vom Oktober 2026 über Windows Update oder WSUS installieren; die KB-Nummer zuvor im MSRC-Advisory überprüfen.
• Den Print Spooler auf Servern und Arbeitsstationen deaktivieren, die nicht drucken.
• Den Microsoft-Lifecycle-Status von Windows 10 1607 und Server 2016 prüfen und einen Ersatz planen, falls Patches nicht mehr ausreichen.
• Auf neue Exploit-Berichte oder einen Eintrag im KEV-Katalog achten und nach der nächsten NVD-Aktualisierung erneut prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Response Center: CVE-2026-85376 msrc.microsoft.com
• NVD record via Vulners vulners.com
• OpenCVE: CVE-2026-85376 app.opencve.io
• VulDB: CVE-2026-85376 vuldb.com
• Tenable plugin 365471 (update package reference) www.tenable.com
• Rapid7 record via Vulners vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 02:14.