Windows SSDP-Dienst: Lokale Rechteausweitung

Zusammenfassung

Microsoft hat eine Schwachstelle im Windows-SSDP-Discovery-Dienst (SSDPSRV) behoben, die es einem lokalen Benutzer mit niedrigen Rechten erlaubt, seine Berechtigungen auf dem System zu erhöhen. Der CVE-Eintrag beschreibt das Problem als unzureichende Authentifizierung, die CWE lautet jedoch CWE-522 (Insufficiently Protected Credentials). Die Angriffsmöglichkeit ist lokal, weshalb ein Angreifer bereits einen Zugriff auf das System benötigt, etwa über Phishing oder ein kompromittiertes Benutzerkonto. CISA SSVC bewertet die Ausnutzung als keine und die Schwachstelle als nicht automatisierbar; ein öffentlicher Proof of Concept wurde nicht gefunden.

Betroffen

• Windows 10 Version 1607, 1809, 21H2, 22H2
• Windows 11 Version 23H2, 24H2, 25H2, 26H1, 26H2
• Windows Server 2016, 2019 (inklusive Server Core), 2022
• Windows Server 2025 wird nur von einem Drittanbieter-Aggregator aufgeführt und ist nicht verifiziert.

Behoben in

• Behobene Builds gemäss CVE-Eintrag: 10.0.14393.9688 (1607 / Server 2016), 10.0.17763.9487 (1809 / Server 2019), 10.0.19044.7846 (21H2), 10.0.19045.7846 (22H2), 10.0.22631.7711 (23H2), 10.0.26100.9974 (24H2), 10.0.26200.9974 (25H2), 10.0.28000.3501 (26H1), 10.0.26300.9974 (26H2), 10.0.20348.5870 (Server 2022)
• KB-Nummern von Drittanbieter-Seiten sind nicht verifiziert. Bitte das MSRC-Advisory prüfen.
• Unbekannt: Das Microsoft-Advisory konnte für diesen Eintrag nicht abgerufen werden.

Umgehung

• Den Dienst SSDP Discovery auf Systemen deaktivieren, die kein UPnP benötigen: Set-Service -Name SSDPSRV -StartupType Disabled
• Nebenwirkung: SSDP-basierte Geräte werden nicht mehr erkannt. Vor dem Rollout testen.
• Eine von Microsoft veröffentlichte Gegenmassnahme speziell für diese CVE ist nicht bekannt.

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn (CISA SSVC: Ausnutzung keine, nicht automatisierbar).
• Kein öffentlicher Proof of Concept gefunden.
• Der CVSS-Exploit-Reifegrad ist E:U (unbewiesen).

Unsere Empfehlung

• Die Cumulative Updates vom November 2026 auf allen betroffenen Systemen installieren. Zuvor die genauen Builds und KB-Nummern im MSRC-Advisory prüfen.
• SSDPSRV auf Servern und Arbeitsstationen deaktivieren, die kein UPnP benötigen.
• Lokale Anmelderechte auf gemeinsam genutzten und Kiosk-Geräten einschränken.
• Endpunkte mit nicht mehr unterstützten Builds (zum Beispiel Windows 10 1607 oder 1809) identifizieren und ESU-Optionen prüfen oder ein Upgrade planen.
• Endpunkte auf ungewöhnliche lokale Rechteänderungen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-85907 msrc.microsoft.com
• CVE Record CVE-2026-85907 (CVE.org) www.cve.org
• Strix: CVE-2026-85907 (third-party, unverified) www.strix.ai
• Senserva KB 5131080 (third-party, unverified) senserva.com
• Senserva KB 5131090 (third-party, unverified) senserva.com
• Senserva KB 5131085 (third-party, unverified) senserva.com
• CIS Intune Windows 11 audit item (SSDPSRV hardening) www.tenable.com
• Disable SSDPSRV hardening guide github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 21:13.