Microsoft Windows Filtering Platform: Use after free ermöglicht lokale Rechteerweiterung

Zusammenfassung

Eine Use-after-free-Schwachstelle (CWE-416) in der Windows Filtering Platform (WFP), dem in Windows integrierten Framework für die Netzwerkfilterung, ermöglicht einem berechtigten lokalen Benutzer eine Rechteerweiterung. Der CVSS-3.1-Basiswert liegt bei 6.4 (Mittel), und der Vektor setzt lokalen Zugriff, hohe Angriffskomplexität und hohe Berechtigungen voraus. Ein Angreifer benötigt daher bereits einen Zugang zum System, beispielsweise durch Phishing oder ein kompromittiertes Benutzerkonto mit niedrigen Rechten. Microsoft hat die Schwachstelle in den Sicherheitsupdates vom November 2026 behoben.

Betroffen

• Windows 10 Version 1607 und Windows Server 2016 (inklusive Server Core): Builds vor 10.0.14393.9688
• Windows 10 Version 1809 und Windows Server 2019 (inklusive Server Core): Builds vor 10.0.17763.9487
• Windows 10 Version 21H2: Builds vor 10.0.19044.7846
• Windows 10 Version 22H2: Builds vor 10.0.19045.7846
• Windows 11 Version 23H2: Builds vor 10.0.22631.7711
• Windows 11 Version 24H2: Builds vor 10.0.26100.9974
• Windows 11 Version 25H2: Builds vor 10.0.26200.9974
• Windows 11 Version 26H1: Builds vor 10.0.28000.3501
• Windows 11 Version 26H2: Builds vor 10.0.26300.9974
• Windows Server 2022: Builds vor 10.0.20348.5870
• Windows Server 2025: Unbekannt.

Behoben in

• Windows 10 Version 1607 / Windows Server 2016: 10.0.14393.9688 oder neuer
• Windows 10 Version 1809 / Windows Server 2019: 10.0.17763.9487 oder neuer
• Windows 10 Version 21H2: 10.0.19044.7846 oder neuer
• Windows 10 Version 22H2: 10.0.19045.7846 oder neuer
• Windows 11 Version 23H2: 10.0.22631.7711 oder neuer
• Windows 11 Version 24H2: 10.0.26100.9974 oder neuer
• Windows 11 Version 25H2: 10.0.26200.9974 oder neuer
• Windows 11 Version 26H1: 10.0.28000.3501 oder neuer
• Windows 11 Version 26H2: 10.0.26300.9974 oder neuer
• Windows Server 2022: 10.0.20348.5870 oder neuer
• Windows Server 2025: Unbekannt; Build im MSRC-Advisory prüfen.

Umgehung

Unbekannt. Es ist keine herstellerseitige Workaround-Massnahme bestätigt. Das Sicherheitsupdate vom November 2026 installieren.

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn.
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
• Rapid7: Exploitation Less Likely, nicht öffentlich bekannt gemacht.
• Kein öffentlich verfügbarer Proof-of-Concept-Exploit bekannt.

Unsere Empfehlung

• Das kumulative Update vom November 2026 auf allen betroffenen Windows-10-, Windows-11- und Serversystemen installieren, zuerst auf gemeinsam genutzten Servern, Terminalservern und Systemen mit vielen Benutzern.
• Die Build-Nummern vor dem Rollout im MSRC-Advisory prüfen, insbesondere für Windows Server 2025.
• Nicht mehr unterstützte Windows-Versionen identifizieren und ersetzen oder aktualisieren.
• Lokale Anmelderechte und lokale Konten auf Servern und Arbeitsstationen einschränken, um das Risiko eines Fuss-fassens durch Angreifer zu verringern.
• Auf ungewöhnliche Berechtigungsänderungen und neue lokale Administratorkonten achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE Record CVE-2026-88215 www.cve.org
• Microsoft Security Update Guide CVE-2026-88215 msrc.microsoft.com
• Rapid7 Patch Tuesday November 2026 www.rapid7.com
• Senserva KB5131080 senserva.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 13:47.