Microsoft Windows Host Guardian Service: Lokale Rechteerweiterung

Zusammenfassung

Eine unzureichende Zugriffskontrolle im Windows Host Guardian Service erlaubt einem berechtigten lokalen Angreifer, seine Rechte zu erweitern. Der Host Guardian Service wird typischerweise auf Windows-Server-Hosts für Shielded VMs und geschützte Hyper-V-Hosts eingesetzt. Ein Angreifer benötigt ein gültiges Konto mit niedrigen Rechten auf dem betroffenen System, und es ist keine Benutzerinteraktion erforderlich. Eine erfolgreiche Ausnutzung kann zur vollständigen Kompromittierung des Hosts führen, einschliesslich geschützter virtueller Maschinen und deren Schlüssel.

Betroffen

• Windows 10 Version 1809: 10.0.17763.0 bis < 10.0.17763.9376
• Windows 10 Version 21H2: 10.0.19044.0 bis < 10.0.19044.7807
• Windows 10 Version 22H2: 10.0.19045.0 bis < 10.0.19045.7807
• Windows 11 Version 23H2: 10.0.22631.0 bis < 10.0.22631.7652
• Windows 11 Version 24H2: 10.0.26100.0 bis < 10.0.26100.9711
• Windows 11 Version 25H2: 10.0.26200.0 bis < 10.0.26200.9711
• Windows 11 Version 26H1: 10.0.28000.0 bis < 10.0.28000.3231
• Windows 11 Version 26H2: 10.0.26300.0 bis < 10.0.26300.9711
• Windows Server 2019 (inklusive Server Core): 10.0.17763.0 bis < 10.0.17763.9376
• Windows Server 2022: 10.0.20348.0 bis < 10.0.20348.5761
• Windows Server 2025 (inklusive Server Core): 10.0.26100.0 bis < 10.0.26100.33650
• Der CVE-Eintrag nennt mehr Produkte als die CPE-Daten; die CPE-Daten zeigen nur Windows 10 1809.

Behoben in

• Auf die oben genannten Build-Nummern oder neuer aktualisieren, aus den Sicherheitsupdates vom 13. Oktober 2026.
• Für Windows 10 1809 und Windows Server 2019 wird das kumulative Update KB5126651 vom Oktober 2026 (Build 10.0.17763.9376) als Korrektur angegeben. Dies ist im MSRC-Advisory nicht bestätigt; vor der Verteilung prüfen.
• Das Advisory von Microsoft ist die verbindliche Quelle für die korrigierte Build-Nummer jedes Produkts.

Umgehung

• Im CVE-Eintrag ist kein Workaround dokumentiert. Das Sicherheitsupdate installieren.
• Wo der Host Guardian Service nicht benötigt wird, kann er deaktiviert oder eingeschränkt werden (sekundäre Empfehlung eines Drittanbieter-Aggregators, nicht von Microsoft).
• Auf betroffenen Hosts auf unerwartete Rechteänderungen überwachen.

Ausnutzung

• Es wurden keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
• CISA-SSVC-Daten im CVE-Eintrag: Exploitation none, Automatable no, Technical Impact total.
• Es wurde kein öffentlicher Proof of Concept gefunden.
• Der KEV-Katalog der CISA wurde nicht geprüft.

Unsere Empfehlung

• Prüfen, ob die Rolle Host Guardian Service auf den Servern installiert ist (zum Beispiel mit Get-WindowsFeature).
• Die Sicherheitsupdates vom Oktober 2026 auf allen betroffenen Windows-Servern und Windows-Systemen installieren, priorisiert auf Hosts mit HGS und vielen lokalen oder gemeinsam genutzten Administratorkonten.
• Für Windows 10 1809 und Server 2019 das gemeldete Known Issue mit KB5126651 bei Exchange OWA im Patchfenster einplanen.
• Lokale Konten prüfen und lokale Anmelderechte auf betroffenen Hosts einschränken.
• Auf unerwartete Rechteänderungen und verdächtige lokale Aktivitäten überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide: CVE-2026-88072 msrc.microsoft.com
• Microsoft Support: KB5126651 Windows 10 1809 security update support.microsoft.com
• Microsoft release health: Windows 10 1809 and Windows Server 2019 learn.microsoft.com
• Vulners: CVE-2026-88072 vulners.com
• OpenCVE: CVE-2026-88072 app.opencve.io
• Microsoft Update Catalog: KB5126651 www.catalog.update.microsoft.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 01:32.