Microsoft Windows Servicing Stack Update: Lokale Rechteerweiterung durch Confused Deputy

Zusammenfassung

Ein Confused-Deputy-Fehler (CWE-441) in den Servicing Stack Updates (SSU) von Microsoft erlaubt einem berechtigten lokalen Benutzer, seine Rechte auf betroffenen Windows-10-, Windows-11- und Windows-Server-Systemen zu erweitern. Der Angreifer benötigt ein gültiges Konto mit niedrigen Rechten auf dem Gerät und kann die Schwachstelle nicht direkt über das Netzwerk ausnutzen. Microsoft stuft die Auswirkungen für Vertraulichkeit, Integrität und Verfügbarkeit als hoch ein (CVSS 3.1 7.8).

Betroffen

• Windows 10 Version 1607 (Builds vor 10.0.14393.9681)
• Windows 10 Version 1809 (Builds vor 10.0.17763.9487)
• Windows 10 Version 21H2 (Builds vor 10.0.19044.7846)
• Windows 10 Version 22H2 (Builds vor 10.0.19045.7846, gemäss CVE-Eintrag)
• Windows 11 Version 23H2 (Builds vor 10.0.22631.7711, gemäss CVE-Eintrag)
• Windows Server 2016, inklusive Server Core (Builds vor 10.0.14393.9681)
• Windows Server 2019, inklusive Server Core (Builds vor 10.0.17763.9487)
• Windows Server 2022 (Builds vor 10.0.20348.5870)

Behoben in

• Windows 10 21H2 und 22H2: KB5131096 (Builds 19044.7846 und 19045.7846); vorher ist SSU 19044.6088 oder neuer erforderlich
• Windows 10 1809: KB5131085 (Build 17763.9487)
• Windows 10 1607: KB5131291 (Build 14393.9688)
• Windows 11 Version 23H2 sowie Windows Server 2016, 2019 und 2022: Unbekannt. Die KB pro Build im MSRC-Update-Guide bestätigen.
• Hinweis: Die KB für den SSU-Fix ist nicht für alle Builds in einer Microsoft-Quelle bestätigt.

Umgehung

Unbekannt. Es ist keine vom Hersteller dokumentierte Umgehungsmassnahme verfügbar. Die Einschränkung von lokalem Login und administrativen Rechten reduziert das Risiko, ist aber keine offizielle Massnahme.

Ausnutzung

• Gemäss aktuellem Stand nicht bekannt, dass die Schwachstelle aktiv ausgenutzt wird (CISA SSVC: Exploitation none, Automatable no).
• Der Exploitability Index von Microsoft bewertet sie als "More likely" (eine Prognose, keine Erkennung).
• Gemäss ZDI ist kein öffentlicher Proof of Concept bekannt.
• Eintrag im CISA-KEV-Katalog: in der Recherche nicht gefunden; im Katalog prüfen.

Unsere Empfehlung

• Das Update vom November 2026 inklusive SSU auf allen betroffenen Systemen installieren.
• Auf Windows 10 21H2 und 22H2 nach der erforderlichen SSU KB5131096 installieren; dieser Build setzt eine ESU- oder Enterprise-LTSC-Lizenz voraus.
• Gemeinsam genutzte Arbeitsstationen, Remote-Desktop- und Terminalserver sowie Windows-10-Geräte mit ausgelaufenen Builds (1607, 1809, 21H2) priorisieren.
• Die KB pro Build vor dem Ausrollen im MSRC-Update-Guide prüfen.
• Lokale Login- und Administratorrechte einschränken und auf Mehrbenutzersystemen auf ungewöhnliche Rechteänderungen achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (1 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  crisprss/CVE-2026-88235

Quellen der Recherche

• Microsoft Security Response Center: CVE-2026-88235 msrc.microsoft.com
• CVE Record CVE-2026-88235 www.cve.org
• Microsoft Support: KB5131096 Windows 10 21H2/22H2 security update support.microsoft.com
• Zero Day Initiative: November 2026 security update review www.zerodayinitiative.com
• Qualys: Microsoft Patch Tuesday November 2026 review blog.qualys.com
• NTCompatible: Microsoft November 2026 Patch Tuesday www.ntcompatible.com
• TrinetriOps: November 2026 Patch Tuesday (secondary) trinetriops.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 03:16.