Microsoft Windows Installer: Use-after-free führt zu Rechteerweiterung

Zusammenfassung

Ein Use-after-free-Fehler im Windows Installer, der Komponente zur Installation, Reparatur und Entfernung von MSI-Paketen, erlaubt einem lokal berechtigten Benutzer eine Rechteerweiterung. Ein Angreifer benötigt ein lokales Konto mit niedrigen Rechten, beispielsweise nachdem Malware oder Phishing einen Zugang geschaffen hat. Eine erfolgreiche Ausnutzung kann zur vollständigen Kompromittierung des betroffenen Geräts führen (CVSS 7.8).

Betroffen

• Microsoft Windows 10 Version 1607 (unterhalb 10.0.14393.9612)
• Microsoft Windows 10 Version 1809 (unterhalb 10.0.17763.9376)
• Microsoft Windows 10 Version 21H2 (unterhalb 10.0.19044.7807)
• Microsoft Windows 10 Version 22H2 (vom CNA als unterhalb 10.0.19045.7807 aufgeführt; prüfen)
• Microsoft Windows 11 Versionen 23H2, 24H2, 25H2, 26H1 und 26H2 (genaue Builds siehe MSRC)
• Microsoft Windows Server 2012 und 2012 R2 (inklusive Server Core)
• Microsoft Windows Server 2016 (unterhalb 10.0.14393.9612)

Behoben in

• Behobene Builds gemäss CNA-Eintrag und Aggregatoren: Windows 10 1607 ab 10.0.14393.9612; weitere Versionen gemäss obiger Liste.
• Nicht auf MSRC bestätigt. Unbekannt: KB-Nummer für Windows 10 1607.
• Gefundene kumulative Updates für Oktober 2026: KB5126651 (Windows 10 1809 / Server 2019) und KB5126646 (Server 2025). Auf MSRC prüfen.

Umgehung

• Unbekannt. Es wurde kein vom Hersteller dokumentierter Workaround gefunden.
• Praktische Massnahme: Lokale Anmeldungen einschränken und Softwareinstallationen auf Administratoren beschränken.

Ausnutzung

• CISA SSVC: Ausnutzung none, automatisierbar no.
• Nicht im CISA-KEV-Katalog aufgeführt (gemäss OpenCVE).
• EPSS etwa 0.0024.
• In der Recherche wurden kein öffentlicher Proof of Concept und keine Berichte über Ausnutzung gefunden. Dies ist kein Beweis für das Fehlen einer Ausnutzung.

Unsere Empfehlung

• Behobene Version und KB für jedes System im MSRC Security Update Guide bestätigen.
• Alle Windows-10-1607-Geräte ermitteln. Dieser Build ist End-of-Life, daher Upgrades planen; es sind keine weiteren Fixes über das letzte Update hinaus zu erwarten.
• Das kumulative Update vom Oktober 2026 auf allen übrigen unterstützten Systemen installieren.
• Lokale Administratorrechte reduzieren und auf unerwartete MSI-Installationen achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide: CVE-2026-88080 msrc.microsoft.com
• OpenCVE: CVE-2026-88080 app.opencve.io
• Vulners MSCVE: MS:CVE-2026-88080 vulners.com
• Vulners CIRCL: CIRCL:CVE-2026-88080 vulners.com
• Strix: CVE-2026-88080 www.strix.ai
• OffSeq Radar: CVE-2026-88080 radar.offseq.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 01:28.