Microsoft Windows 10 1607: Use-after-free im Kernel erlaubt Rechteerweiterung

Zusammenfassung

Ein Use-after-free-Fehler (CWE-416) im Windows-Kernel von Windows 10 Version 1607 erlaubt einem lokalen Angreifer die Erweiterung seiner Rechte. Der Angreifer benötigt ein Konto mit niedrigen Rechten auf dem System. Laut dem offiziellen CVE-Eintrag ist Windows Server 2016 mit demselben betroffenen Build-Bereich ebenfalls betroffen. Der CVSS-Basiswert beträgt 7.8 (HIGH).

Betroffen

• Windows 10 Version 1607: Builds 10.0.14393.0 bis vor 10.0.14393.9612
• Windows Server 2016 (inklusive Server Core): Builds 10.0.14393.0 bis vor 10.0.14393.9612
• Microsoft gibt nicht an, welche Kernel-Komponente betroffen ist.

Behoben in

• Build 10.0.14393.9612 oder neuer.
• KB5126868 (13. Oktober 2026) installiert vermutlich den Build 14393.9612. Diese Zuordnung ist aus der Build-Nummer abgeleitet und muss auf der MSRC-Seite bestätigt werden.
• KB5134123 (Out-of-Band, kein Sicherheitsupdate, kumulativ, 26. Oktober 2026) installiert den Build 14393.9615.

Umgehung

Unbekannt. Es wurde keine vom Hersteller dokumentierte Workaround-Massnahme gefunden.

Ausnutzung

• CISA SSVC: Exploitation none, Automatable no.
• Die CVSS-temporalen Werte sind E:U (Exploit-Code nicht nachgewiesen) und RC:C (bestätigt).
• EPSS-Wert: 0.00318.
• Zum Zeitpunkt dieser Einschätzung wurden kein öffentlicher Proof of Concept, keine Ausnutzung in freier Wildbahn und kein Eintrag im CISA KEV-Katalog gefunden.

Unsere Empfehlung

• Alle Windows-10-1607- und Windows-Server-2016-Systeme inventarisieren.
• Build 10.0.14393.9612 oder neuer installieren, idealerweise KB5134123, nachdem die KB-Nummer auf der MSRC-Seite bestätigt wurde.
• Prüfen, ob Extended Security Updates für 1607 verfügbar sind. Microsoft hat die Updates für diese Version eingestellt, daher könnte der Oktober 2026 das letzte Sicherheitsupdate sein.
• Migration auf eine unterstützte Windows-Version planen.
• Auf öffentlichen Exploit-Code überwachen, da die Schwachstelle nur ausgenutzt werden kann, wenn ein Angreifer bereits Code auf dem System ausführen kann.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-88134 msrc.microsoft.com
• Vulners: CVE-2026-88134 vulners.com
• OpenCVE: CVE-2026-88134 app.opencve.io
• Microsoft Support: KB5134123 Windows 10 1607 update support.microsoft.com
• Microsoft Learn: Windows 10 1607 and Server 2016 release health learn.microsoft.com
• Strix.ai: CVE-2026-88134 www.strix.ai
• ManageEngine Patch Tuesday October 2026 pitstop.manageengine.com
• KACE Patch Tuesday changelog 2026-10-15 changelog.kace.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 01:17.