Windows BITS: Use-after-free führt zu lokaler Rechteausweitung

Zusammenfassung

Ein Use-after-free-Fehler im Background Intelligent Transfer Service (BITS) von Windows erlaubt einem berechtigten lokalen Angreifer, seine Rechte zu erweitern. Der Angreifer benötigt ein Konto mit niedrigen Rechten auf dem betroffenen System und keine Benutzerinteraktion. Eine erfolgreiche Ausnutzung könnte volle SYSTEM-Kontrolle über den Host ermöglichen. Microsoft stuft den CVSS-Wert als 7.8 (hoch) ein, und es sind weder eine Ausnutzung noch öffentlicher Exploit-Code bekannt.

Betroffen

• Windows 10 Version 1607 (10.0.14393.0 bis unter 10.0.14393.9612)
• Windows Server 2016 (10.0.14393.0 bis unter 10.0.14393.9612)
• Windows 10 Version 1809, 21H2, 22H2
• Windows 11 Version 23H2, 24H2, 25H2, 26H1, 26H2
• Windows Server 2012 und 2012 R2 (Server Core und vollständige Installation)

Behoben in

• Windows 10 Version 1607 und Server 2016: 10.0.14393.9612 gemäss CNA-Eintrag (vor dem Rollout in der MSRC-Tabelle prüfen)
• Andere Zweige: die behobenen Builds sind dem MSRC Update Guide zu entnehmen
• Kumulatives Update für Windows 10 1607: KB5126868 (Oktober 2026); der KB-Auszug nennt diese CVE nicht, daher bitte bestätigen

Umgehung

• Keine Workaround-Massnahme von Microsoft dokumentiert.
• Übergangsmassnahme: lokale Anmeldung und Zugriff mit Standardbenutzerkonten auf betroffenen Systemen einschränken, bis das Update installiert ist.

Ausnutzung

• Nicht im Katalog CISA KEV aufgeführt.
• CISA SSVC: Ausnutzung none, automatisierbar no, technische Auswirkung total.
• In den geprüften Quellen wurde kein öffentlicher Proof-of-Concept gefunden.
• Aktive Ausnutzung in freier Wildbahn: Unbekannt. Das Flag Exploited im MSRC prüfen.

Unsere Empfehlung

• Alle Windows-10-1607- und Server-2016-Systeme inventarisieren und den Build mit winver oder über die Registry prüfen.
• Das Sicherheitsupdate vom Oktober 2026 installieren und den Build mit der MSRC-Tabelle abgleichen.
• Gemeinsam genutzte Systeme, Terminalserver sowie Arbeitsstationen, auf denen Benutzer unbekannte Inhalte ausführen, priorisieren.
• Geräte mit Windows 10 1607 auf eine unterstützte Version migrieren, da dieser Zweig nicht mehr gewartet wird.
• Die Ereignisprotokolle Microsoft-Windows-Bits-Client und Service Control Manager auf ungewöhnliche Dienstneustarts oder Job-Aktivitäten überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-88152 msrc.microsoft.com
• Microsoft KB5126868: Windows 10 1607 security update (October 2026) support.microsoft.com
• SentinelOne vulnerability database: CVE-2026-88152 www.sentinelone.com
• OpenCVE: CVE-2026-88152 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 01:15.