Windows Diagnostic Policy Service: Race Condition führt zu lokaler Rechteerweiterung

Zusammenfassung

Eine Race Condition (CWE-362) und eine Use-after-Free-Schwachstelle (CWE-416) im Windows Diagnostic Policy Service erlauben einem berechtigten lokalen Benutzer eine Rechteerweiterung. Der Angreifer benötigt eine bestehende Sitzung mit niedrigen Rechten und muss ein Timing-Rennen gewinnen, was die Ausnutzung weniger zuverlässig macht (hohe Angriffskomplexität). Eine erfolgreiche Ausnutzung kann zur vollständigen Kompromittierung des betroffenen Systems führen.

Betroffen

• Windows 11 Version 24H2: 10.0.26100.0 vor 10.0.26100.9974
• Windows 11 Version 25H2: 10.0.26200.0 vor 10.0.26200.9974
• Windows 11 Version 26H1: 10.0.28000.0 vor 10.0.28000.3501
• Windows 11 Version 26H2: 10.0.26300.0 vor 10.0.26300.9974
• Windows Server 2025 (inklusive Server-Core-Installation): 10.0.26100.0 vor 10.0.26100.33822

Behoben in

• Windows 11 24H2, 25H2 und 26H2: Kumulatives Sicherheitsupdate vom November 2026 KB5132061 (Builds 10.0.26100.9974, 10.0.26200.9974, 10.0.26300.9974)
• Windows 11 26H1: KB5132059 (Build 10.0.28000.3501)
• Windows Server 2025: Build 10.0.26100.33822 (KB-Nummer: unbekannt)

Umgehung

Unbekannt. Microsoft hat keine Gegenmassnahme veröffentlicht. Die Installation des Sicherheitsupdates ist die Lösung.

Ausnutzung

• Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
• CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Kein öffentlicher Proof of Concept gefunden.
• Im Rahmen der durchgeführten (begrenzten) Prüfung nicht im CISA-KEV-Katalog gefunden.

Unsere Empfehlung

• Die Sicherheitsupdates vom November 2026 installieren (KB5132061 bzw. KB5132059 für 26H1) sowie Windows Server 2025 mit Build 10.0.26100.33822 oder neuer, wobei Systeme mit mehreren Benutzern, Shared PCs und Terminalserver priorisiert werden.
• Bei fehlgeschlagener Installation (Fehler 0x800f0993) den Vorgang wiederholen oder manuell installieren.
• Nach dem Patchen die Builds mit winver überprüfen.
• Sicherstellen, dass auch das Oktober-2026-Update für die verwandte Schwachstelle CVE-2026-83915 installiert ist.
• Lokale Konten und Standardbenutzerrechte einschränken und Application Allow-Listing einsetzen, um das Risiko eines lokalen Fussfassens des Angreifers zu senken.
• NVD und CISA KEV erneut prüfen, da die Analyse zum Zeitpunkt der Veröffentlichung noch ausstand.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide: CVE-2026-95976 msrc.microsoft.com
• CVE Record CVE-2026-95976 www.cve.org
• Microsoft KB5132061 security update (Windows 11) support.microsoft.com
• Microsoft November 2026 Patch Tuesday outlook (KB5132059 for 26H1) cyberinsider.com
• KB5132061 installation failures (secondary source) joho-todai.com
• MSRC Security Update Guide: CVE-2026-83915 (related race condition EoP) msrc.microsoft.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 07:54.