Microsoft Windows: Use-after-free-Rechteausweitung im Broadcast-DVR-Dienst

Zusammenfassung

Eine Use-after-free-Schwachstelle im Windows Broadcast DVR User Service erlaubt einem berechtigten lokalen Benutzer, seine Rechte zu erweitern. Der CVSS-3.1-Basiswert liegt bei 7.8. Ein Angreifer braucht ein gültiges lokales Konto oder bereits Codeausführung als Benutzer mit niedrigen Rechten, und es ist keine Benutzerinteraktion nötig. Die Lücke ist allein nicht aus dem Internet ausnutzbar, führt aber nach erfolgreicher Ausnutzung zur vollständigen Kompromittierung des betroffenen Systems.

Betroffen

• Windows 10 Version 1607: 10.0.14393.0 bis unter 10.0.14393.9612
• Windows 10 Version 1809: 10.0.17763.0 bis unter 10.0.17763.9376
• Windows 10 Version 21H2: 10.0.19044.0 bis unter 10.0.19044.7807
• Windows 10 Version 22H2: 10.0.19045.0 bis unter 10.0.19045.7807 (Quellendaten teilweise widersprüchlich, auf MSRC prüfen)
• Windows 11 Version 23H2: 10.0.22631.0 bis unter 10.0.22631.7652
• Windows 11 Version 24H2: 10.0.26100.0 bis unter 10.0.26100.9711
• Windows 11 Version 25H2: 10.0.26200.0 bis unter 10.0.26200.9711
• Windows 11 Version 26H1: 10.0.28000.0 bis unter 10.0.28000.3231
• Windows 11 Version 26H2: 10.0.26300.0 bis unter 10.0.26300.9711

Behoben in

• Windows 10 Version 1607: Build 10.0.14393.9612 (KB5126868, 13. Oktober 2026)
• Weitere betroffene Versionen: Kumulative Updates vom Oktober 2026 mit den oben genannten Builds (Tenable nennt für Version 1809 KB5126651; auf MSRC prüfen)

Umgehung

Unbekannt. Ein Aggregator empfiehlt, den Windows Broadcast DVR User Service bis zur Installation des Updates vorübergehend zu deaktivieren. Microsoft bestätigt dies in der Sicherheitsmitteilung nicht, daher vor einer Anwendung auf MSRC prüfen.

Ausnutzung

• Es wurden keine Hinweise auf eine Ausnutzung in freier Wildbahn oder auf einen öffentlichen Proof of Concept gefunden.
• CISA-SSVC-Daten: Exploitation none, Automatable no.
• Ob diese CVE im CISA-KEV-Katalog geführt wird, ist unbekannt; ein Tenable-Plugin zur Sicherheitsmitteilung nennt ein KEV-Fälligkeitsdatum, verknüpft es aber nicht eindeutig mit dieser CVE.

Unsere Empfehlung

• Das kumulative Update vom Oktober 2026 auf allen betroffenen Windows-Systemen installieren, zuerst auf gemeinsam genutzten Computern und Systemen mit vielen lokalen Benutzern.
• Prüfen, ob Windows 10 Version 1607 und andere alte Builds noch unterstützt werden, da nicht unterstützte Builds das Update nicht erhalten.
• Die Build-Nummern vor dem Ausrollen in der MSRC-Sicherheitsmitteilung bestätigen.
• Den CISA-KEV-Katalog prüfen und auf Ausnutzung überwachen.
• Lokale Anmeldungen einschränken und die Ausführung von Schadcode unter Benutzerkonten erschweren.
• Priorität: mittel bis hoch, abhängig davon, wie viele Benutzer lokalen Zugriff haben.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-88105 msrc.microsoft.com
• Microsoft KB5126868 for Windows 10 1607 (security update) support.microsoft.com
• CVELIST record for CVE-2026-88105 (Vulners) vulners.com
• OpenCVE record for CVE-2026-88105 app.opencve.io
• VulDB entry 419403 vuldb.com
• Tenable plugin 365471 for bulletin KB5126868 www.tenable.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 01:25.