Microsoft Windows Installer: Use-after-free führt zu lokaler Rechteausweitung

Zusammenfassung

Eine Use-after-free-Schwachstelle im Windows Installer erlaubt einem berechtigten lokalen Benutzer, seine Rechte zu erweitern. Ein erfolgreicher Angreifer erlangt auf dem betroffenen Gerät hohe Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Die Ausnutzung setzt einen lokalen Zugriff und niedrige Rechte voraus, die Angriffskomplexität ist hoch, und es ist keine Ausnutzung oder öffentlicher Exploit bekannt.

Betroffen

• Windows 10 Version 1607: Builds vor 10.0.14393.9612
• Windows 10 Version 1809: Builds vor 10.0.17763.9376
• Windows 10 Version 21H2: Builds vor 10.0.19044.7807
• Windows 10 Version 22H2: Im CNA-Eintrag als betroffen aufgeführt
• Windows 11 Version 23H2: Builds vor 10.0.22631.7652
• Windows 11 Versionen 24H2, 25H2, 26H1 und 26H2: Builds vor 10.0.26100.9711, 10.0.26200.9711, 10.0.28000.3231 bzw. 10.0.26300.9711
• Windows Server 2012 und 2012 R2 (inklusive Server Core): Builds vor 6.2.9200.26434 bzw. 6.3.9600.23470
• Windows Server 2016: Builds vor 10.0.14393.9612

Behoben in

• Korrigierte Builds gemäss CNA-Eintrag (die jeweils als betroffen angegebene Build-Grenze ist der Fix)
• Windows 10 Version 22H2: 10.0.19045.7807 gemäss Sekundärquelle; der CNA-Eintrag ist an dieser Stelle abgeschnitten, bitte bei Microsoft prüfen
• Alle Build-Nummern vor dem Rollout im MSRC-Advisory prüfen

Umgehung

• Keine bekannt. Weder der CNA-Eintrag noch die Sekundärquelle nennen eine Massnahme, und es wurde keine Zwischenlösung von Microsoft gefunden.

Ausnutzung

• Microsofts CVSS-Vektor kennzeichnet die Exploit-Reife als Unproven (E:U).
• VulDB meldet keinen bekannten Exploit.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Es wurde keine Ausnutzung in freier Wildbahn oder öffentlicher Proof of Concept gefunden; der KEV-Katalog der CISA wurde nicht geprüft.

Unsere Empfehlung

• Die Windows-Updates vom November 2026 auf allen betroffenen Systemen installieren, nachdem die korrigierten Build-Nummern im MSRC-Advisory geprüft wurden.
• Bis zum Patch die Installation von MSI-Paketen einschränken und die lokale Anmeldung auf gemeinsam genutzten Geräten oder Kiosk-Geräten begrenzen.
• Privilegierte Installer-Aktivitäten mit EDR-Protokollierung überwachen.
• Priorität: für die meisten KMU mittel; auf hoch erhöhen, wenn Benutzer lokale Administratoren sind oder die Endpoint-Abdeckung schwach ist.
• Zusammen mit den anderen Windows-Installer-Schwachstellen zur Rechteausweitung im selben Paket einspielen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-96026 msrc.microsoft.com
• CVE Record CVE-2026-96026 (CNA: Microsoft) www.cve.org
• VulDB entry 435441 vuldb.com
• Strix CVE-2026-96026 (secondary mirror) www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 07:48.