Windows Search Component: Link Following führt zu lokaler Rechteerweiterung

Zusammenfassung

Eine Schwachstelle durch Link Following (CWE-59) in der Microsoft Windows Search Component erlaubt einem Angreifer mit einem lokalen Benutzerkonto mit niedrigen Rechten eine Rechteerweiterung. Eine erfolgreiche Ausnutzung kann die volle Kontrolle über Vertraulichkeit, Integrität und Verfügbarkeit des betroffenen Systems ermöglichen. Der Angreifer benötigt lokalen Zugriff und ein gültiges Benutzerkonto; die Schwachstelle ist nicht aus der Ferne ausnutzbar.

Betroffen

• Windows 10 Version 1607: 10.0.14393.0 bis vor 10.0.14393.9612
• Windows Server 2016 (inklusive Server Core): 10.0.14393.0 bis vor 10.0.14393.9612
• Windows 10 Version 1809 und Windows Server 2019: 10.0.17763.0 bis vor 10.0.17763.9376
• Windows 10 Version 21H2: 10.0.19044.0 bis vor 10.0.19044.7807
• Windows 10 Version 22H2: 10.0.19045.0 bis vor 10.0.19045.7807
• Windows 11 Version 23H2: 10.0.22631.0 bis vor 10.0.22631.7652
• Windows 11 Version 24H2: 10.0.26100.0 bis vor 10.0.26100.9711
• Windows 11 Version 25H2 und 26H2: 10.0.26200.0 bzw. 10.0.26300.0 bis vor 10.0.26200.9711 bzw. 10.0.26300.9711
• Windows 11 Version 26H1: 10.0.28000.0 bis vor 10.0.28000.3231
• Windows Server 2012 R2 (inklusive Server Core): 6.3.9600.0 bis vor 6.3.9600.23470

Behoben in

• Windows 10 Version 1607 und Windows Server 2016: OS-Build 14393.9612 (KB5126868, veröffentlicht am 13. Oktober 2026)
• Späterer Out-of-Band-Build für Windows 10 Version 1607: KB5134123 (OS-Build 14393.9615), angekündigt für 26. Oktober 2026
• Andere Produkte: Fixe Builds gemäss den Angaben im Abschnitt betroffene Versionen, laut CVE-Eintrag
• Die genaue Produktliste im MSRC Security Update Guide prüfen, da sie von der Herstellerseite nicht vollständig bestätigt werden konnte

Umgehung

• Kein Workaround des Herstellers identifiziert. Status: unbekannt.

Ausnutzung

• CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Tenable meldet verfügbare Exploits und eine Frist im CISA-KEV-Katalog bis 16.10.2026, dies könnte sich jedoch auf das gesamte Bulletin beziehen. Nicht bestätigt.
• VulDB meldet keinen bekannten Exploit und unbekannte technische Details.
• Kein öffentlicher Proof of Concept gefunden.
• Den CISA-KEV-Katalog direkt auf CVE-2026-88191 prüfen.

Unsere Empfehlung

• Windows 10 Version 1607 und Windows Server 2016 mindestens auf OS-Build 14393.9612 patchen, vorzugsweise auf den späteren Out-of-Band-Build.
• Auf der Lifecycle-Seite von Microsoft prüfen, ob das Supportende von Windows 10 Enterprise LTSB 2016 am 13. Oktober 2026 für Ihre Systeme gilt. Falls ja, ist eine Migration und nicht nur ein Patch zu planen.
• Gemeinsam genutzte PCs, Terminalserver, RDS-Hosts und Dateiserver priorisieren und lokale Anmeldungen sowie Standardbenutzerkonten bis zum Patch möglichst einschränken.
• Patches auf Exchange-Servern zuerst testen, da Microsoft ein mit dem Oktober-2026-Update verbundenes Anmeldeproblem bei Exchange/OWA auflistet (als abgeschwächt markiert).
• Den CISA-KEV-Katalog prüfen und Herstellerupdates auf Änderungen des Ausnutzungsstatus überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-88191 msrc.microsoft.com
• Microsoft KB5126868: Windows 10 1607 security update support.microsoft.com
• Tenable Nessus plugin 365471 www.tenable.com
• VulDB entry 419499 vuldb.com
• Strix CVE-2026-88191 www.strix.ai
• Talos: Microsoft Patch Tuesday October 2026 blog.talosintelligence.com
• Qualys: Microsoft Patch Tuesday October 2026 review blog.qualys.com
• Microsoft release health: Windows 10 1607 and Windows Server 2016 status learn.microsoft.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 01:06.