Microsoft Windows Installer: Use after free ermöglicht lokale Rechteerweiterung

Zusammenfassung

Eine Use-after-free-Schwachstelle in der Komponente Windows Installer erlaubt einem berechtigten lokalen Benutzer mit niedrigen Rechten, seine Privilegien zu erweitern. Der Angriff setzt lokalen Zugriff und eine hohe Komplexität voraus und erfordert keine Benutzerinteraktion. Bei erfolgreicher Ausnutzung wären Vertraulichkeit, Integrität und Verfügbarkeit des betroffenen Systems vollständig gefährdet.

Betroffen

• Windows 10 Version 1607: vor 10.0.14393.9612
• Windows 10 Version 1809: vor 10.0.17763.9376
• Windows 10 Version 21H2: vor 10.0.19044.7807
• Windows 10 Version 22H2: Unbekannt (Versionsbereich nicht bestätigt)
• Windows 11 Version 23H2: vor 10.0.22631.7652
• Windows 11 Version 24H2: vor 10.0.26100.9711
• Windows 11 Version 25H2: vor 10.0.26200.9711
• Windows 11 Version 26H1: vor 10.0.28000.3231
• Windows 11 Version 26H2: vor 10.0.26300.9711
• Windows Server 2012: vor 6.2.9200.26434
• Windows Server 2012 R2: vor 6.3.9600.23470
• Windows Server 2016: vor 10.0.14393.9612
• Server-Core-Installationen von Windows Server 2012 und 2012 R2 sind ebenfalls betroffen

Behoben in

• Die korrigierten Builds entsprechen den oben als 'vor' aufgeführten Versionen aus dem CVE-Eintrag. KB-Nummern: Unbekannt.
• Die verbindliche Liste finden Sie im MSRC Security Update Guide.

Umgehung

Unbekannt.

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn.
• Kein Eintrag im CISA-KEV-Katalog und zum Zeitpunkt der Erstellung kein öffentlicher Proof of Concept bekannt.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.

Unsere Empfehlung

• Installieren Sie das Sicherheitsupdate für jeden betroffenen Windows-Build im regulären Patch-Zyklus, mit höherer Priorität für gemeinsam genutzte Systeme, Terminal-Server und Server.
• Prüfen Sie vor dem Rollout die korrigierte Version und die KB-Nummer auf der MSRC-Seite.
• Stellen Sie sicher, dass jeder Host weiterhin Sicherheitsupdates erhält, insbesondere ältere Builds wie 1607 und 1809.
• Prüfen Sie, welche Konten lokalen Zugriff auf betroffene Systeme haben, und schränken Sie diesen wo möglich ein.
• Prüfen Sie den Ausnutzungsstatus nach dem Patch-Zyklus erneut.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-96008 msrc.microsoft.com
• CVE.org CVE Record: CVE-2026-96008 www.cve.org
• Strix: CVE-2026-96008 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 07:52.