Microsoft Windows User Manager Service: Use-after-free führt zu lokaler Rechteerweiterung

Zusammenfassung

Eine Use-after-free-Schwachstelle (CWE-416) im Windows User Manager Service erlaubt einem lokal berechtigten Benutzer, seine Rechte zu erweitern. Ein Angreifer mit einem Konto mit niedrigen Rechten auf dem System kann so höhere Rechte erlangen, der CVSS-v3.1-Basiswert beträgt 7.0 (hoch). Für die Ausnutzung ist lokaler Zugriff sowie eine hohe Angriffskomplexität erforderlich, und die Schwachstelle ist nicht aus dem Internet erreichbar.

Betroffen

• Windows 10 Version 1607 (Builds vor 10.0.14393.9688)
• Windows 10 Version 1809 (Builds vor 10.0.17763.9487)
• Windows 10 Version 21H2 (Builds vor 10.0.19044.7846)
• Windows 10 Version 22H2 (Builds vor 10.0.19045.7846)
• Windows 11 Version 23H2 (Builds vor 10.0.22631.7711)
• Windows 11 Version 24H2 (Builds vor 10.0.26100.9974)
• Windows 11 Version 25H2 (Builds vor 10.0.26200.9974)
• Windows 11 Version 26H1 (Builds vor 10.0.28000.3501)
• Windows 11 Version 26H2 (Builds vor 10.0.26300.9974)
• Windows Server 2016, inklusive Server Core (Builds vor 10.0.14393.9688)
• Windows Server 2019, inklusive Server Core (Builds vor 10.0.17763.9487)
• Windows Server 2022 (Builds vor 10.0.20348.5870)

Behoben in

Behoben in den kumulativen Updates vom November 2026 für die betroffenen Windows-Versionen. Die Build-Nummern stammen aus den Bereichsangaben des CVE-Eintrags und müssen vor dem Rollout im MSRC Security Update Guide überprüft werden.

Umgehung

Unbekannt. Es wurde keine vom Hersteller dokumentierte Workaround gefunden. Das Einschränken lokaler Anmelderechte sowie interaktiver und entfernter Sitzungen auf Servern reduziert das Risiko bis zur Installation des Updates.

Ausnutzung

• Der CVSS-Vektor von Microsoft markiert die Exploit-Reife als unbewiesen (E:U), und CISA SSVC bewertet die Ausnutzung als keine.
• Es wurde kein öffentlicher Proof-of-Concept-Exploit gefunden.
• Für diese CVE wurde kein Eintrag im CISA-KEV-Katalog gefunden.
• Ein allgemeiner Patch-Tuesday-Bericht erwähnt eine nicht benannte, aktiv ausgenutzte Schwachstelle für November 2026, die nicht eindeutig dieser CVE zugeordnet werden konnte.

Unsere Empfehlung

• Das kumulative Update vom November 2026 installieren, zuerst auf Mehrbenutzersystemen, Remote-Desktop-Servern und Dateiservern.
• Die Build-Nummern vor dem Rollout im MSRC-Advisory überprüfen.
• Prüfen, ob Windows-10-Systeme den Support verloren haben und Extended Security Updates benötigen.
• Lokale und entfernte interaktive Anmelderechte auf Servern einschränken und auf Anzeichen für Rechteerweiterung überwachen.
• Das Update früher einspielen, falls eine Ausnutzung bestätigt wird.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE record (Microsoft CNA) www.cve.org
• MSRC Security Update Guide advisory msrc.microsoft.com
• Strix AI tracker (third party, unverified) www.strix.ai
• Rapid7 Patch Tuesday November 2026 www.rapid7.com
• Senserva KB5131090 summary (third party) senserva.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 07:53.