Microsoft Windows Installer: Rechteerweiterung durch Use-after-free

Zusammenfassung

Windows Installer, die Windows-Komponente für die Installation und Wartung von MSI-Paketen, enthält eine Use-after-free-Schwachstelle (CWE-416). Ein berechtigter lokaler Benutzer mit niedrigen Rechten kann sie ausnutzen, um höhere Rechte bis zur SYSTEM-Ebene auf betroffenen Windows-10-, Windows-11- und Windows-Server-Systemen zu erlangen (CVSS 7.8). Netzwerkzugriff und Benutzerinteraktion sind nicht erforderlich, daher benötigt ein Angreifer bereits einen lokalen Zugriff. Microsoft meldet weder eine öffentliche Offenlegung noch eine bekannte Ausnutzung.

Betroffen

• Windows 10 Version 1607 und Windows Server 2016: Builds 10.0.14393.0 bis vor 10.0.14393.9612
• Windows 10 Version 1809: Builds 10.0.17763.0 bis vor 10.0.17763.9376
• Windows 10 21H2 und 22H2: Builds 10.0.19044.0 bis vor 10.0.19044.7807 und 10.0.19045.0 bis vor 10.0.19045.7807
• Windows 11 23H2, 24H2, 25H2, 26H1 und 26H2 (verschiedene Builds, siehe MSRC-Tabelle)
• Windows Server 2012 und 2012 R2 (inklusive Server Core): Builds 6.2.9200.0 bis vor 6.2.9200.26434 und 6.3.9600.0 bis vor 6.3.9600.23470
• Die Versionsbereiche stammen aus dem CVE-Eintrag und aus Aggregatoren; massgebend ist MSRC.

Behoben in

• Windows 10 1607 / Server 2016: Build 10.0.14393.9612 oder neuer, sehr wahrscheinlich über das Update KB5126868 vom 13. Oktober 2026 (noch nicht gegen die Produkttabelle von MSRC bestätigt)
• Andere Produkte: die im MSRC-Advisory aufgeführten korrigierten Builds
• Hinweis: Windows 10 1607 (LTSB 2016) hat mit dem Oktober-2026-Release das Ende der Updates erreicht; weitere Korrekturen sind nicht zu erwarten.

Umgehung

• Unbekannt. Microsoft hat in den geprüften Quellen keine Massnahme für diese CVE veröffentlicht.
• Für nicht aktualisierbare, ungepatchte Systeme: lokale Anmeldung auf vertrauenswürdige Benutzer beschränken, lokale Administratorrechte einschränken und die Installation nicht vertrauenswürdiger MSI-Pakete unterbinden (allgemeine Härtung, keine Herstellervorgabe).

Ausnutzung

• Einschätzung von Microsoft: nicht öffentlich offengelegt, nicht ausgenutzt, Ausnutzbarkeit als "Exploitation Unlikely" eingestuft.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Kein öffentlicher Proof-of-Concept gefunden. Der EPSS-Wert liegt bei etwa 0,002 (niedrig).

Unsere Empfehlung

• Alle Windows-10-1607- und Windows-Server-2016-Geräte inventarisieren und andere Windows-Versionen anhand des MSRC-Advisorys prüfen.
• Auf unterstützten Systemen KB5126868 oder ein neueres Update installieren. Zuvor das bekannte Exchange-Mailproblem dieses Updates gemäss Microsoft Release Health prüfen.
• Migration weg von Windows 10 1607 / LTSB 2016 für Geräte planen, die keine Updates mehr erhalten.
• Lokale Administratorrechte und die Installation nicht vertrauenswürdiger MSI-Pakete auf allen Systemen einschränken.
• Priorität: mittel für gepatchte Systeme; hoch für ungepatchte oder nicht mehr unterstützte 1607-Systeme.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide: CVE-2026-87700 msrc.microsoft.com
• Microsoft KB5126868: Windows 10 1607 security update (October 2026) support.microsoft.com
• Microsoft KB5134123: Windows 10 1607 update support.microsoft.com
• Microsoft Release Health: Windows 10 1607 and Windows Server 2016 learn.microsoft.com
• OpenCVE: CVE-2026-87700 app.opencve.io
• VulDB: CVE-2026-87700 vuldb.com
• Vulners VulnRichment: CVE-2026-87700 (EPSS) vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 01:38.