Windows AppX Deployment Service: Lokale Rechteerweiterung durch Link Following

Zusammenfassung

Der Windows AppX Deployment Service (AppXSVC) auf Windows 10, Windows 11 und Windows Server enthält eine fehlerhafte Auflösung von Links (CWE-59) vor dem Dateizugriff. Ein berechtigter lokaler Benutzer mit niedrigen Rechten kann dies ausnutzen, um höhere Rechte zu erlangen, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Eine Ausnutzung aus der Ferne wird nicht angezeigt; der Angreifer benötigt lokalen Zugriff auf das betroffene System.

Betroffen

• Windows 10 Version 1607 und Windows Server 2016 (inklusive Server Core): Builds 10.0.14393.0 bis unter 10.0.14393.9612
• Windows 10 Version 1809 und Windows Server 2019 (inklusive Server Core): Builds 10.0.17763.0 bis unter 10.0.17763.9376
• Windows 10 Version 21H2: Builds 10.0.19044.0 bis unter 10.0.19044.7807
• Windows 10 Version 22H2: Builds 10.0.19045.0 bis unter 10.0.19045.7807
• Windows 11 Version 23H2: Builds 10.0.22631.0 bis unter 10.0.22631.7652
• Windows 11 Version 24H2: Builds 10.0.26100.0 bis unter 10.0.26100.9711
• Windows 11 Version 25H2: Builds 10.0.26200.0 bis unter 10.0.26200.9711
• Windows 11 Version 26H1: Builds 10.0.28000.0 bis unter 10.0.28000.3231
• Windows 11 Version 26H2: Builds 10.0.26300.0 bis unter 10.0.26300.9711
• Windows Server 2022: Builds 10.0.20348.0 bis unter 10.0.20348.5761

Behoben in

• Korrigierte Builds gemäss CVE-Eintrag (erster nicht betroffener Build): 10.0.14393.9612 (1607 und Server 2016), 10.0.17763.9376 (1809 und Server 2019), 10.0.19044.7807 (21H2), 10.0.19045.7807 (22H2), 10.0.22631.7652 (23H2), 10.0.26100.9711 (24H2), 10.0.26200.9711 (25H2), 10.0.28000.3231 (26H1), 10.0.26300.9711 (26H2), 10.0.20348.5761 (Server 2022)
• Die Korrekturen werden mit dem Sicherheitsupdate vom Oktober 2026 bereitgestellt. Den genauen Build im MSRC-Advisory prüfen.

Umgehung

Unbekannt. Es konnte kein Workaround von Microsoft verifiziert werden.

• Lokale Anmeldung auf vertrauenswürdige Benutzer beschränken.
• Gültige lokale Konten auf betroffenen Systemen einschränken.

Ausnutzung

• CISA SSVC: Ausnutzung keine, nicht automatisierbar, technische Auswirkung total.
• Zum Zeitpunkt der Erstellung wurde kein öffentlicher Proof of Concept und keine bestätigte Ausnutzung in freier Wildbahn gefunden.

Unsere Empfehlung

• Alle Windows-10-1607- und Windows-Server-2016-Systeme inventarisieren, inklusive OT- und Fixed-Function-Geräten.
• Das Sicherheitsupdate vom Oktober 2026 auf allen betroffenen Systemen installieren und die Build-Nummer prüfen.
• Die Migration von Windows 10 Enterprise 2016 LTSB jetzt planen. Laut Recherchenotizen endet der Support am 13. Oktober 2026, weitere Korrekturen sind daher möglicherweise nicht mehr vorgesehen.
• Lokale Konten und Administratorrechte auf diesen Systemen überprüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide: CVE-2026-85849 msrc.microsoft.com
• NVD mirror (Vulners): CVE-2026-85849 vulners.com
• OpenCVE: CVE-2026-85849 app.opencve.io
• Vulners MSCVE tracker: MS:CVE-2026-85849 vulners.com
• Microsoft Windows release information learn.microsoft.com
• Qualys: Microsoft Patch Tuesday October 2026 review blog.qualys.com
• VulDB: CVE-2026-85849 vuldb.com
• Insentra: Windows 10 LTSB is ending www.insentragroup.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 01:57.