Microsoft Windows BITS: Rechteerweiterung durch nicht initialisierte Ressource

Zusammenfassung

In dem Windows Background Intelligent Transfer Service (BITS) besteht eine lokale Schwachstelle zur Rechteerweiterung (CWE-908, Use of Uninitialized Resource). Ein berechtigter, lokaler Angreifer mit niedrigen Rechten kann dadurch höhere Rechte auf dem betroffenen System erlangen; der CVSS-v3.1-Basiswert beträgt 7.8 (High). Die Schwachstelle ist nicht aus dem Internet ausnutzbar, daher besteht das Hauptrisiko bei einem gültigen Konto mit niedrigen Rechten oder bei bereits auf einem Arbeitsplatz oder Server laufender Schadsoftware.

Betroffen

• Windows 10 Version 1607 (10.0.14393.0 bis vor 10.0.14393.9612)
• Windows 10 Version 1809 (10.0.17763.0 bis vor 10.0.17763.9376)
• Windows 10 Version 21H2 (10.0.19044.0 bis vor 10.0.19044.7807)
• Windows 10 Version 22H2 (10.0.19045.0 bis vor 10.0.19045.7807)
• Windows 11 Version 23H2 (10.0.22631.0 bis vor 10.0.22631.7652)
• Windows 11 Version 24H2 (10.0.26100.0 bis vor 10.0.26100.9711)
• Windows 11 Version 25H2 (10.0.26200.0 bis vor 10.0.26200.9711)
• Windows 11 Version 26H1 (10.0.28000.0 bis vor 10.0.28000.3231)
• Windows 11 Version 26H2 (10.0.26300.0 bis vor 10.0.26300.9711)
• Windows Server 2012 und Server-Core-Installation (6.2.9200.0 bis vor 6.2.9200.26434)
• Windows Server 2012 R2 und Server-Core-Installation (6.3.9600.0 bis vor 6.3.9600.23470)
• Windows Server 2016 (10.0.14393.0 bis vor 10.0.14393.9612)

Behoben in

• Korrigierte Builds gemäss offiziellem CVE-Eintrag: Windows 10 1607 und Server 2016 10.0.14393.9612; Windows 10 1809 10.0.17763.9376; Windows 10 21H2 10.0.19044.7807; Windows 10 22H2 10.0.19045.7807; Windows 11 23H2 10.0.22631.7652; Windows 11 24H2, 25H2 und 26H2 10.0.26100.9711, 10.0.26200.9711 und 10.0.26300.9711; Windows 11 26H1 10.0.28000.3231; Server 2012 6.2.9200.26434; Server 2012 R2 6.3.9600.23470.
• Die KB-Nummer für Windows 10 1607 und Server 2016 ist unbekannt. Die vollständige Tabelle befindet sich im MSRC Security Update Guide.

Umgehung

Unbekannt. Vom Hersteller wurde kein Workaround identifiziert. Die folgenden allgemeinen Massnahmen stammen nicht vom Hersteller: lokale Anmeldung auf gemeinsam genutzten Mehrbenutzersystemen einschränken sowie Windows-10-1607-Hosts isolieren oder aktualisieren.

Ausnutzung

• Ausnutzung in freier Wildbahn: keine Hinweise gefunden. Kein Eintrag im CISA-KEV-Katalog identifiziert.
• Öffentlicher Proof of Concept: keiner gefunden.
• CISA SSVC: Ausnutzung none, automatisierbar no, technische Auswirkung total.
• Reifegrad des Exploit-Codes laut Microsoft: Unproven (E:U).
• EPSS: etwa 0.37 %.

Unsere Empfehlung

• Das Microsoft-Sicherheitsupdate vom Oktober 2026 auf allen betroffenen Systemen installieren; Server, Terminal-Server, Dateiserver und Mehrbenutzersysteme zuerst.
• Verbleibende Windows-10-1607- und LTSB-2016-Hosts identifizieren. Das Supportende und die Verfügbarkeit von Extended Security Updates prüfen, da diese Systeme möglicherweise keine weiteren Korrekturen erhalten. Diese Systeme isolieren oder eine Aktualisierung planen.
• Lokale Konten überprüfen und die interaktive Anmeldung auf gemeinsam genutzten Systemen einschränken.
• Die KB-Nummer für 1607 vor der Verteilung auf der MSRC-Seite bestätigen und den NVD-Status vor der Finalisierung dieses Eintrags erneut prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft MSRC Security Update Guide: CVE-2026-85843 msrc.microsoft.com
• Vulners MSCVE: MS:CVE-2026-85843 vulners.com
• Vulners NVD: CVE-2026-85843 vulners.com
• Vulners VulnCheck/Vulnrichment: CVE-2026-85843 vulners.com
• OpenCVE: CVE-2026-85843 app.opencve.io
• Qualys: Microsoft Patch Tuesday October 2026 review blog.qualys.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 02:01.