Microsoft Windows BITS: Rechteerweiterung durch Ganzzahlüberlauf

Zusammenfassung

Ein Ganzzahlüberlauf oder Wraparound im Windows Background Intelligent Transfer Service (BITS) erlaubt einem berechtigten lokalen Angreifer, seine Rechte zu erweitern. Laut Microsoft kann ein erfolgreicher Angriff SYSTEM-Rechte verschaffen. Der Angreifer benötigt ein lokales Konto mit niedrigen Rechten, und es ist keine Benutzerinteraktion erforderlich. Microsoft hat korrigierte Builds für die betroffenen Windows-10-, Windows-11- und Windows-Server-Versionen veröffentlicht. Die CISA-Bewertung lautet, dass keine Ausnutzung erfolgt, und es wurde kein öffentlicher Exploit gefunden.

Betroffen

• Windows 10 Version 1607 (10.0.14393.0 vor 10.0.14393.9612)
• Windows Server 2016 (10.0.14393.0 vor 10.0.14393.9612)
• Windows 10 Version 1809 (10.0.17763.0 vor 10.0.17763.9376)
• Windows 10 Version 21H2 (10.0.19044.0 vor 10.0.19044.7807)
• Windows 10 Version 22H2 (10.0.19045.0 vor 10.0.19045.7807)
• Windows 11 Version 23H2 (10.0.22631.0 vor 10.0.22631.7652)
• Windows 11 Version 24H2 (10.0.26100.0 vor 10.0.26100.9711)
• Windows 11 Version 25H2 (10.0.26200.0 vor 10.0.26200.9711)
• Windows 11 Version 26H1 (10.0.28000.0 vor 10.0.28000.3231)
• Windows 11 Version 26H2 (10.0.26300.0 vor 10.0.26300.9711)
• Windows Server 2012 (6.2.9200.0 vor 6.2.9200.26434)
• Windows Server 2012 R2 (6.3.9600.0 vor 6.3.9600.23470)

Behoben in

• Installation des Sicherheitsupdates vom Oktober 2026 für die jeweilige Windows-Version, das die von Microsoft als korrigiert genannten Builds bereitstellt (zum Beispiel 10.0.14393.9612 für Windows 10 Version 1607 und Windows Server 2016).
• KB-Nummer vor der Verteilung auf dem Microsoft Security Update Guide überprüfen. Tenable nennt KB5126868 für Windows 10 Version 1607 und Windows Server 2016, dies wurde jedoch auf der MSRC-Seite nicht bestätigt.

Umgehung

• Unbekannt. Die Quellen dokumentieren keine Workaround- oder Schutzmassnahme. Sicherheitsupdate installieren.

Ausnutzung

• Keine Ausnutzung in freier Wildbahn gefunden.
• CISA-ADP-Bewertung: Exploitation none, Automatable no, Technical Impact total.
• EPSS-Wert sehr niedrig (0.00369).
• Kein öffentlicher Proof of Concept gefunden; dies schliesst nicht aus, dass einer existiert.

Unsere Empfehlung

• Betroffene Systeme mit dem Sicherheitsupdate vom Oktober 2026 patchen, mit Priorität auf Windows-10-Version-1607- und Windows-Server-2016-Systeme mit mehreren Benutzern, etwa gemeinsam genutzte Arbeitsstationen und Terminal-/RDS-Server.
• Prüfen, ob Windows 10 Version 1607 noch unterstützt wird; das Ende des Supports ist erreicht oder steht unmittelbar bevor. Bei weiterer Nutzung eine Migration planen.
• Lokale Konten einschränken und Standardbenutzerrechte überprüfen, um das Risiko einer Rechteerweiterung nach einem initialen Zugriff zu senken.
• Auf ungewöhnliche Rechteerweiterungen achten und die CISA-KEV-Liste sowie öffentliche Exploit-Quellen auf Änderungen prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-88118 msrc.microsoft.com
• Talos: Microsoft Patch Tuesday for October 2026 blog.talosintelligence.com
• Qualys: Microsoft Patch Tuesday October 2026 review threatprotect.qualys.com
• OpenCVE: CVE-2026-88118 app.opencve.io
• Tenable: CVE-2026-88118 plugins www.tenable.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 01:23.