Windows AppContainer: Informationsoffenlegung durch schwache Authentifizierung

Zusammenfassung

Eine Schwachstelle in der Authentifizierung von Windows AppContainer, der Sandbox-Grenze für eingeschränkte App-Prozesse, ermöglicht die Offenlegung von Informationen. Ein Angreifer benötigt ein bestehendes lokales Konto oder Code, der auf dem Host läuft, und der CVSS-Basiswert beträgt 6.5 (mittel). Die Vertraulichkeit ist stark betroffen, Integrität und Verfügbarkeit hingegen nicht. Der CVE-Eintrag von Microsoft und die CISA-SSVC-Bewertung zeigen keine bekannte Ausnutzung.

Betroffen

• Windows 10 Version 1607 (10.0.14393.0 vor 10.0.14393.9688)
• Windows 10 Version 1809 (10.0.17763.0 vor 10.0.17763.9487)
• Windows 10 Version 21H2 (10.0.19044.0 vor 10.0.19044.7846)
• Windows 10 Version 22H2 (10.0.19045.0 vor 10.0.19045.7846)
• Windows 11 Version 23H2 (10.0.22631.0 vor 10.0.22631.7711)
• Windows 11 Version 24H2 (10.0.26100.0 vor 10.0.26100.9974)
• Windows 11 Version 25H2 (10.0.26200.0 vor 10.0.26200.9974)
• Windows 11 Version 26H1 (10.0.28000.0 vor 10.0.28000.3501)
• Windows 11 Version 26H2 (10.0.26300.0 vor 10.0.26300.9974)
• Windows Server 2016 inkl. Server Core (10.0.14393.0 vor 10.0.14393.9688)
• Windows Server 2019 inkl. Server Core (10.0.17763.0 vor 10.0.17763.9487)
• Windows Server 2022 (10.0.20348.0 vor 10.0.20348.5870)

Behoben in

• Sicherheitsupdate vom November 2026 für die betroffenen Windows-Versionen, mit den unter Betroffen aufgeführten Build-Nummern.
• Build-Nummern für Windows 10 21H2, 22H2, Windows 11 23H2 und Windows Server 2016 bis 2022 stammen von Drittanbieter-Aggregatoren und sind von Microsoft noch nicht bestätigt.
• Von Drittanbietern genannte KB-Nummern: KB5131090 (Windows Server 2022) und KB5131096 (Windows 10 21H2). Nicht verifiziert.
• Unbekannt: ob Windows Server 2025, LTSC-Varianten und weitere Editionen durch dieselbe Korrektur abgedeckt sind.

Umgehung

Keine bekannt. Die Korrektur wird als Sicherheitsupdate bereitgestellt.

Ausnutzung

• CISA SSVC: Ausnutzung keine, nicht automatisierbar, partielle technische Auswirkung.
• Rapid7 stuft die Ausnutzung als weniger wahrscheinlich ein und meldet keine öffentliche Bekanntgabe.
• Nicht als aktiv in freier Wildbahn ausgenutzt gemeldet.
• Kein öffentlicher Proof of Concept gefunden.
• Die CVSS-Temporalwerte sind E:U (unbewiesen) und RC:C (bestätigt).

Unsere Empfehlung

• Das Windows-Sicherheitsupdate vom November 2026 auf allen betroffenen Systemen installieren und die Build-Nummer im Microsoft Security Update Guide prüfen.
• Mehrbenutzer-Terminalserver, gemeinsam genutzte Arbeitsstationen und Hosts mit nicht vertrauenswürdigem oder Drittanbieter-Code priorisieren.
• Lokale Konten einschränken und begrenzen, wer Code auf Servern und Arbeitsstationen ausführen kann.
• Bis zur Installation ungewöhnliche lokale Aktivitäten überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-96018 msrc.microsoft.com
• CVE.org record CVE-2026-96018 www.cve.org
• Rapid7: Patch Tuesday November 2026 www.rapid7.com
• Senserva: KB5131090 senserva.com
• Senserva: KB5131096 senserva.com
• Strix: CVE-2026-96018 (third-party aggregation) www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 11:56.