Microsoft Windows Installer: Rechteerweiterung durch Use-after-free

Zusammenfassung

Ein Use-after-free-Fehler (CWE-416) im Windows Installer erlaubt einem berechtigten lokalen Benutzer, seine Rechte auf den betroffenen Windows-Client- und Serverversionen zu erweitern. Der Angreifer benötigt ein gültiges Konto mit geringen Rechten oder bereits laufenden Code im Benutzerkontext, zum Beispiel nach Phishing oder Malware. Es gibt keinen Angriffsweg über das Netzwerk, ein erfolgreicher Angriff verschafft aber die volle Kontrolle über das betroffene System.

Betroffen

• Windows 10 Version 1607 und Windows Server 2016: Builds 10.0.14393.0 bis unter 10.0.14393.9612
• Windows 10 Version 1809: Builds 10.0.17763.0 bis unter 10.0.17763.9376
• Windows 10 Version 21H2: Builds 10.0.19044.0 bis unter 10.0.19044.7807
• Windows 10 Version 22H2: Builds 10.0.19045.0 bis unter 10.0.19045.7807
• Windows 11 Version 23H2: Builds 10.0.22631.0 bis unter 10.0.22631.7652
• Windows 11 Version 24H2, 25H2 und 26H2: Builds 10.0.26100.0 / 10.0.26200.0 / 10.0.26300.0 bis unter 10.0.26100.9711 / 10.0.26200.9711 / 10.0.26300.9711
• Windows 11 Version 26H1: Builds 10.0.28000.0 bis unter 10.0.28000.3231
• Windows Server 2012 und 2012 R2 (inklusive Server Core): Builds 6.2.9200.0 bis unter 6.2.9200.26434 und 6.3.9600.0 bis unter 6.3.9600.23470
• Windows Server 2025: betroffen (genauer Bereich nicht bestätigt, siehe offene Punkte in den Notizen)

Behoben in

• Behoben in den Builds, die in der CVE-Meldung als Obergrenze der jeweiligen Bereiche genannt sind, zum Beispiel 10.0.14393.9612 für Windows 10 1607 und Windows Server 2016
• Die genauen Build-Nummern für Windows Server 2025 und einige andere Quellen weichen ab und konnten nicht aus einer primären Quelle bestätigt werden. Prüfen Sie die Tabelle der Sicherheitsupdates von MSRC für Ihre Version.
• Von Tenable gemeldete KB-Nummern, noch nicht gegen MSRC verifiziert: KB5126868 (1607 / Server 2016), KB5126651 (1809 / Server 2019), KB5126657 (21H2 / 22H2), KB5126653 (11 23H2), KB5127648 (11 24H2 / 25H2 / 26H2), KB5126646 (Server 2025), KB5126655 (Server 2022), KB5126835 und KB5126836 (Server 2012 und 2012 R2)

Umgehung

Unbekannt. In den geprüften Quellen wurde keine Workaround gefunden. Bis Microsoft etwas anderes mitteilt, ist das Einspielen des Patches die Abhilfe.

Ausnutzung

• Laut Microsoft nicht aktiv ausgenutzt. Einschätzung der Ausnutzbarkeit: Exploitation Less Likely.
• Laut Microsoft nicht öffentlich bekannt gemacht.
• In den geprüften Quellen wurde kein öffentlicher Proof of Concept gefunden.
• EPSS zum Zeitpunkt der Prüfung: 0.00318 (niedrig).
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.

Unsere Empfehlung

• Betroffene Windows-Systeme im üblichen monatlichen Update-Zyklus mit dem Update von Microsoft für die jeweilige Windows-Version patchen.
• Mehrbenutzersysteme wie Remote Desktop- oder Terminalserver, gemeinsam genutzte PCs und Dateiserver priorisieren, da eine lokale Rechteerweiterung dort alle Benutzer betrifft.
• Prüfen, ob noch Windows-10-1607-Systeme im Einsatz sind und ob sie noch Sicherheitsupdates erhalten (ESU-Registrierung). Bei Bedarf Ersatz oder ESU planen.
• Benutzerrechte einschränken und Softwareinstallationen beschränken. Application Control wie AppLocker oder WDAC nutzen, um die Auswirkungen lokaler Rechteerweiterungen zu verringern.
• Endgeräte und Server auf verdächtige Installer-Aktivitäten und unerwartete Rechteänderungen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Response Center: CVE-2026-87694 msrc.microsoft.com
• VulDB: CVE-2026-87694 vuldb.com
• Tenable: CVE-2026-87694 plugins www.tenable.com
• Strix: CVE-2026-87694 www.strix.ai
• OpenCVE: CVE-2026-87694 app.opencve.io
• Vulners: CVELIST CVE-2026-87694 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 01:42.