Microsoft Windows Installer: Rechteausweitung durch Race Condition

Zusammenfassung

Eine Race Condition (CWE-362) und eine Dereferenzierung eines nicht vertrauenswürdigen Pointers (CWE-822) in Windows Installer erlauben einem berechtigten lokalen Angreifer, erhöhte Rechte zu erlangen. Der Angreifer benötigt ein lokales Konto und muss einen Timing-Wettlauf gewinnen, daher ist die Angriffskomplexität hoch. Eine erfolgreiche Ausnutzung könnte dem Angreifer die vollständige Kontrolle über das lokale System ermöglichen.

Betroffen

• Windows 10 Version 1607: 10.0.14393.0 vor 10.0.14393.9688
• Windows 10 Version 1809: 10.0.17763.0 vor 10.0.17763.9487
• Windows 10 Version 21H2: 10.0.19044.0 vor 10.0.19044.7846
• Windows 10 Version 22H2: 10.0.19045.0 vor 10.0.19045.7846
• Windows 11 Version 23H2: 10.0.22631.0 vor 10.0.22631.7711
• Windows 11 Version 24H2: 10.0.26100.0 vor 10.0.26100.9974
• Windows 11 Version 25H2: 10.0.26200.0 vor 10.0.26200.9974
• Windows 11 Version 26H1: 10.0.28000.0 vor 10.0.28000.3501
• Windows 11 Version 26H2: 10.0.26300.0 vor 10.0.26300.9974
• Windows Server 2016 (inklusive Server Core): 10.0.14393.0 vor 10.0.14393.9688
• Windows Server 2019 (inklusive Server Core): 10.0.17763.0 vor 10.0.17763.9487
• Windows Server 2022: 10.0.20348.0 vor 10.0.20348.5870

Behoben in

• Das Sicherheitsupdate vom November 2026 (Patch Tuesday) für die betroffenen Windows-Versionen installieren; es enthält Builds mit den oben genannten oder höheren Versionen.
• KB-Artikelnummern: Unbekannt.

Umgehung

Unbekannt.

Ausnutzung

• Es wurden keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
• Es wurde kein öffentlicher Proof of Concept gefunden.
• Die CVSS-Reife des Exploit-Codes ist 'Unproven' (E:U).
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.

Unsere Empfehlung

• Betroffene Windows-10-, Windows-11- und Windows-Server-Systeme mit dem Update vom November 2026 patchen; Mehrbenutzersysteme, Terminalserver und gemeinsam genutzte PCs priorisieren.
• Lokale Administratorrechte einschränken und Benutzer, wo möglich, mit Standardkonten arbeiten lassen.
• Die betroffenen Versionen und KB-Nummern vor dem Rollout im MSRC-Advisory überprüfen.
• NVD auf die Analyse und eine mögliche Aufnahme in den CISA-KEV-Katalog überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Response Center: CVE-2026-96019 msrc.microsoft.com
• CVE Record: CVE-2026-96019 www.cve.org
• Strix AI: CVE-2026-96019 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 07:51.