Microsoft Windows Event Logging Service: Lokale Rechteerweiterung durch Use-after-free

Zusammenfassung

Ein Use-after-free-Fehler im Windows Event Logging Service (wevtsvc) erlaubt einem berechtigten lokalen Angreifer eine Rechteerweiterung. Der Angreifer benötigt eine Anmeldung mit niedrigen Rechten auf dem System, etwa an einem gemeinsam genutzten PC, einem Terminal-Server oder mit einem gestohlenen Konto. Eine erfolgreiche Ausnutzung hätte hohe Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Die Schwachstelle ist nicht direkt aus dem Internet erreichbar.

Betroffen

• Windows 10 Version 1809 und Windows Server 2019 (inkl. Server Core): 10.0.17763.0 bis vor 10.0.17763.9487
• Windows 10 Version 21H2: 10.0.19044.0 bis vor 10.0.19044.7846
• Windows 10 Version 22H2: 10.0.19045.0 bis vor 10.0.19045.7846
• Windows 11 Version 23H2: 10.0.22631.0 bis vor 10.0.22631.7711
• Windows 11 Version 24H2: 10.0.26100.0 bis vor 10.0.26100.9974
• Windows 11 Version 25H2: 10.0.26200.0 bis vor 10.0.26200.9974
• Windows 11 Version 26H1: 10.0.28000.0 bis vor 10.0.28000.3501
• Windows 11 Version 26H2: 10.0.26300.0 bis vor 10.0.26300.9974
• Windows Server 2022: 10.0.20348.0 bis vor 10.0.20348.5870
• Windows Server 2025 (inkl. Server Core): 10.0.26100.0 bis vor 10.0.26100.33822

Behoben in

• Behoben in den Sicherheitsupdates vom November 2026. Erste korrigierte Builds gemäss CVE-Eintrag: 10.0.17763.9487, 10.0.19044.7846, 10.0.19045.7846, 10.0.22631.7711, 10.0.26100.9974, 10.0.26200.9974, 10.0.20348.5870, 10.0.26100.33822. Bitte auf der MSRC-Seite überprüfen und die KB-Nummer dort entnehmen.

Umgehung

• Unbekannt. Es ist keine Workaround-Massnahme des Herstellers dokumentiert. Sicherheitsupdate installieren.
• Allgemeine Härtung: lokale Anmelderechte einschränken und das Least-Privilege-Prinzip auf gemeinsam genutzten Systemen und Terminal-Servern anwenden.

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn.
• Kein öffentlicher Proof of Concept gefunden.
• Rapid7 stuft die Ausnutzung als weniger wahrscheinlich ein (Prognose, keine Bestätigung).
• CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.

Unsere Empfehlung

• Betroffene Windows-10-, Windows-11- und Windows-Server-Systeme mit den Sicherheitsupdates vom November 2026 patchen; Priorität haben Mehrbenutzer-Server, Terminal-Server und gemeinsam genutzte Arbeitsstationen.
• Betroffene und korrigierte Builds vor dem Rollout auf der MSRC-Seite überprüfen.
• Berechtigung für Extended Security Updates bei Windows-10-Systemen mit Microsoft abklären.
• Lokale Konten und Anmelderechte auf gemeinsam genutzten Systemen überprüfen.
• NVD, CISA KEV und Herstellerupdates auf Änderungen des Ausnutzungsstatus überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-95997 msrc.microsoft.com
• CVE.org CVE Record: CVE-2026-95997 www.cve.org
• Rapid7: Patch Tuesday analysis, November 2026 www.rapid7.com
• Strix: CVE-2026-95997 details www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 02:51.