Windows StateRepository API: Use-after-free führt zu lokaler Rechteerweiterung

Zusammenfassung

Ein Use-after-free-Fehler (CWE-416) in der Windows StateRepository API erlaubt einem berechtigten lokalen Benutzer mit niedrigen Rechten, seine Rechte zu erweitern. Die Schwachstelle ist mit CVSS 7.8 (Hoch) bewertet und kann die Vertraulichkeit, Integrität und Verfügbarkeit des lokalen Systems beeinträchtigen. Ein Angreifer benötigt ein gültiges lokales Konto oder einen bereits bestehenden Zugriff auf das System, die Schwachstelle lässt sich nicht aus der Ferne ausnutzen. Microsoft hat in den Oktober-2026-Updates eine Korrektur veröffentlicht (veröffentlicht am 13. Oktober 2026).

Betroffen

• Windows 10 Version 1809 (Builds vor 10.0.17763.9376)
• Windows 10 Version 21H2 (Builds vor 10.0.19044.7807)
• Windows 10 Version 22H2 (Builds vor 10.0.19045.7807)
• Windows 11 Version 23H2 (Builds vor 10.0.22631.7652)
• Windows 11 Version 24H2 (Builds vor 10.0.26100.9711)
• Windows 11 Version 25H2 (Builds vor 10.0.26200.9711)
• Windows 11 Version 26H1 (Builds vor 10.0.28000.3231)
• Windows 11 Version 26H2 (Builds vor 10.0.26300.9711)
• Windows Server 2019, inklusive Server Core (Builds vor 10.0.17763.9376)
• Windows Server 2022 (Builds vor 10.0.20348.5761)
• Windows Server 2025, inklusive Server Core (Builds vor 10.0.26100.33650)
• Hinweis: Der CPE-Eintrag nennt nur Windows 10 1809. Gemäss CVE-Eintrag sind auch die anderen oben genannten Versionen betroffen.

Behoben in

• Windows 10 Version 1809 und Windows Server 2019: 10.0.17763.9376 oder neuer
• Windows 10 Version 21H2: 10.0.19044.7807 oder neuer
• Windows 10 Version 22H2: 10.0.19045.7807 oder neuer (auf MSRC prüfen, Drittquellen zeigen einen widersprüchlichen Bereich)
• Windows 11 Version 23H2: 10.0.22631.7652 oder neuer
• Windows 11 Version 24H2: 10.0.26100.9711 oder neuer
• Windows 11 Version 25H2 und 26H2: 10.0.26200.9711 oder neuer beziehungsweise 10.0.26300.9711 oder neuer
• Windows 11 Version 26H1: 10.0.28000.3231 oder neuer
• Windows Server 2022: 10.0.20348.5761 oder neuer
• Windows Server 2025: 10.0.26100.33650 oder neuer
• System nach der Installation des Updates neu starten.

Umgehung

Keine Workaround-Massnahme dokumentiert. Die Installation des Sicherheitsupdates ist die Behebung.

Ausnutzung

• Keine Hinweise auf aktive Ausnutzung gefunden. Die Exploitability-Bewertung von Microsoft konnte nicht überprüft werden.
• Kein öffentlicher Proof of Concept gefunden.
• Der EPSS-Wert ist sehr niedrig (etwa 0.0035), was auf eine geringe prognostizierte Ausnutzungswahrscheinlichkeit hinweist.
• Status im CISA-KEV-Katalog nicht überprüft.

Unsere Empfehlung

• Das Windows-Sicherheitsupdate vom Oktober 2026 auf allen betroffenen Systemen installieren, zuerst auf Mehrbenutzersystemen, Terminalservern und Remote-Desktop-Hosts.
• Vor der Verteilung die korrekte Update-Nummer (KB) und die Build-Nummern auf der MSRC-Seite prüfen.
• Windows 10 Version 1809 und andere nicht mehr unterstützte Windows-Versionen ersetzen, da sie keine regulären Sicherheitsupdates mehr erhalten.
• CVE-2026-85910 (Informationsoffenlegung in derselben Komponente) im gleichen Zyklus patchen.
• Lokale Anmeldung auf notwendige Konten beschränken und auf ungewöhnliche Rechteänderungen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-85911 msrc.microsoft.com
• Vulners: NVD data for CVE-2026-85911 vulners.com
• Vulners: VulnCheck data for CVE-2026-85911 vulners.com
• OpenCVE: CVE-2026-85911 app.opencve.io
• Strix: CVE-2026-85911 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 01:44.