Windows StateRepository API: Manipulation aufgrund fehlender Authentifizierung

Zusammenfassung

Eine fehlende Authentifizierung für eine kritische Funktion in der Windows StateRepository API erlaubt einem berechtigten lokalen Benutzer mit niedrigen Rechten, Daten zu manipulieren. Die Auswirkungen beschränken sich auf Integrität und Verfügbarkeit, eine Verletzung der Vertraulichkeit ist nicht bekannt. Der Angriff erfordert lokalen Zugriff und ein gültiges Benutzerkonto, weshalb das Risiko auf Mehrbenutzersystemen wie Terminalservern und gemeinsam genutzten PCs am höchsten ist.

Betroffen

• Windows 10 Version 1809 (10.0.17763.0 vor 10.0.17763.9487)
• Windows 10 Version 21H2 (10.0.19044.0 vor 10.0.19044.7846)
• Windows 10 Version 22H2 (10.0.19045.0 vor 10.0.19045.7846)
• Windows 11 Version 23H2 (10.0.22631.0 vor 10.0.22631.7711)
• Windows 11 Version 24H2 (10.0.26100.0 vor 10.0.26100.33822 gemäss CVE-Eintrag; ein Drittanbieter-Spiegel nennt 10.0.26100.9974, ungeklärt)
• Windows 11 Version 25H2 (10.0.26200.0 vor 10.0.26200.9974)
• Windows 11 Version 26H1 (10.0.28000.0 vor 10.0.28000.3501)
• Windows 11 Version 26H2 (10.0.26300.0 vor 10.0.26300.9974)
• Windows Server 2019 inklusive Server Core (10.0.17763.0 vor 10.0.17763.9487)
• Windows Server 2022 (10.0.20348.0 vor 10.0.20348.5870)
• Windows Server 2025 inklusive Server Core (10.0.26100.0 vor 10.0.26100.33822)

Behoben in

• Sicherheitsupdates, veröffentlicht mit dem Patch Tuesday im November 2026
• Windows 10 Version 21H2: KB5131096 (Drittanbieter-Tracker, nicht gegen den Microsoft-Katalog verifiziert)
• Windows Server 2022: KB5131090 (Drittanbieter-Tracker, nicht gegen den Microsoft-Katalog verifiziert)
• Exakte korrigierte Version je Edition: Im MSRC-Advisory prüfen, da sich die Quellen bei Windows 11 Version 24H2 widersprechen

Umgehung

Unbekannt.

Ausnutzung

• Nicht als ausgenutzt bekannt (CISA SSVC: Exploitation none)
• Kein öffentlicher Proof of Concept gefunden
• Der CVSS-Temporalvektor verwendet E:U (Reife des Exploit-Codes: nicht nachgewiesen)

Unsere Empfehlung

• Die Sicherheitsupdates vom November 2026 im normalen monatlichen Patch-Zyklus auf allen betroffenen Windows-Systemen installieren
• Terminalserver, gemeinsam genutzte PCs und Windows-10-Systeme mit noch laufendem erweitertem Support priorisieren
• Den erweiterten Support (ESU) und den Lifecycle-Status jedes Windows-10-Geräts prüfen
• Lokale Benutzerkonten auf Mehrbenutzersystemen auf das notwendige Minimum beschränken
• Im MSRC-Advisory die exakte korrigierte Version je Edition prüfen und Änderungen am Exploitation-Status verfolgen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide: CVE-2026-95998 msrc.microsoft.com
• CVE Record CVE-2026-95998 www.cve.org
• Strix.ai: CVE-2026-95998 www.strix.ai
• Senserva KB5131096 (Windows 10 21H2) senserva.com
• Senserva KB5131090 (Windows Server 2022) senserva.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 21:13.