Microsoft Windows Cdpsvc: Rechteerweiterung über Use-after-Free

Zusammenfassung

Der Dienst Connected Devices Platform Service (Cdpsvc) in mehreren Versionen von Windows 10, Windows 11 und Windows Server enthält einen Use-after-Free-Fehler. Ein berechtigter lokaler Benutzer kann diesen ausnutzen, um höhere Rechte auf dem betroffenen System zu erlangen. Die Ausnutzung erfordert eine hohe Komplexität und lokalen Zugriff, weshalb ein Angreifer zuerst einen Zugang auf dem Gerät benötigt. Auf einem betroffenen Host wird die Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit als hoch eingestuft.

Betroffen

• Windows 10 Version 1607 (10.0.14393.0 bis vor 10.0.14393.9688)
• Windows 10 Version 1809 (10.0.17763.0 bis vor 10.0.17763.9487)
• Windows 10 Version 21H2 (10.0.19044.0 bis vor 10.0.19044.7846)
• Windows 10 Version 22H2 (10.0.19045.0 bis vor 10.0.19045.7846)
• Windows 11 Version 23H2 (10.0.22631.0 bis vor 10.0.22631.7711)
• Windows 11 Version 24H2 (10.0.26100.0 bis vor 10.0.26100.9974)
• Windows 11 Version 25H2 (10.0.26200.0 bis vor 10.0.26200.9974)
• Windows 11 Version 26H1 (10.0.28000.0 bis vor 10.0.28000.3501)
• Windows 11 Version 26H2 (10.0.26300.0 bis vor 10.0.26300.9974)
• Windows Server 2016 inkl. Server Core (10.0.14393.0 bis vor 10.0.14393.9688)
• Windows Server 2019 inkl. Server Core (10.0.17763.0 bis vor 10.0.17763.9487)
• Windows Server 2022 (10.0.20348.0 bis vor 10.0.20348.5870)

Behoben in

Behoben in den Microsoft-Sicherheitsupdates vom November 2026 (Patch Tuesday, 10. November 2026). Behobene Builds liegen auf oder über den unter Betroffen aufgeführten oberen Grenzen. Das genaue Update für jede Edition ist im MSRC-Advisory zu prüfen.

Umgehung

Unbekannt. Es wurde kein vom Hersteller genannter Workaround gefunden.

Ausnutzung

• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Nicht als aktiv in freier Wildbahn ausgenutzt gelistet.
• Kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Das Windows-Sicherheitsupdate vom November 2026 auf allen betroffenen Systemen installieren, Terminalserver, RDS-Hosts, gemeinsam genutzte Arbeitsstationen und Systeme mit Zugriff externer Dienstleister zuerst.
• Prüfen, ob das Update installiert ist und der Dienst Cdpsvc normal läuft.
• Lokale Anmeldungen auf vertrauenswürdige Benutzer beschränken und auf unerwartete Rechteänderungen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-96007 msrc.microsoft.com
• BleepingComputer: Microsoft November 2026 Patch Tuesday www.bleepingcomputer.com
• Qualys: Microsoft Patch Tuesday November 2026 review blog.qualys.com
• CWE-416: Use After Free cwe.mitre.org
• Strix: CVE-2026-96007 (third-party aggregator, verify against MSRC) www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 07:52.