Windows Installer: Rechteerweiterung durch Use After Free

Zusammenfassung

Eine Use-After-Free-Schwachstelle im Windows Installer erlaubt einem berechtigten lokalen Angreifer, seine Rechte zu erweitern, potenziell bis auf SYSTEM-Ebene. Der Angreifer benötigt ein gültiges lokales Konto oder bereits laufenden Code auf dem Gerät, und die Ausnutzung wird als hoch komplex eingestuft. Eine erfolgreiche Ausnutzung würde dem Angreifer die volle Kontrolle über das betroffene System verschaffen.

Betroffen

• Windows 10 Version 1607 (Builds unter 10.0.14393.9688)
• Windows 10 Version 1809 (Builds unter 10.0.17763.9487)
• Windows 10 Version 21H2 (Builds unter 10.0.19044.7846)
• Windows 10 Version 22H2 (Builds unter 10.0.19045.7846)
• Windows 11 Version 23H2 (Builds unter 10.0.22631.7711)
• Windows 11 Version 24H2 (Builds unter 10.0.26100.9974)
• Windows 11 Version 25H2 (Builds unter 10.0.26200.9974)
• Windows 11 Version 26H1 (Builds unter 10.0.28000.3501)
• Windows 11 Version 26H2 (Builds unter 10.0.26300.9974)
• Windows Server 2016 inkl. Server Core (Builds unter 10.0.14393.9688)
• Windows Server 2019 inkl. Server Core (Builds unter 10.0.17763.9487)
• Windows Server 2022 (Builds unter 10.0.20348.5870)

Behoben in

• Sicherheitsupdate des Patch Tuesday vom November 2026 für die aufgeführten Windows-Versionen und Builds. Die genauen KB-Nummern sind auf der MSRC-Seite zu bestätigen.

Umgehung

Unbekannt.

Ausnutzung

• Zum Zeitpunkt der Erstellung ist keine aktive Ausnutzung bekannt.
• Kein öffentlich verfügbarer Proof-of-Concept-Exploit gefunden.
• CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.

Unsere Empfehlung

• Das Windows-Sicherheitsupdate vom November 2026 auf allen betroffenen Systemen installieren, priorisiert auf gemeinsam genutzten PCs, Terminalservern und Arbeitsstationen, auf denen nicht vertrauenswürdige Software läuft.
• Prüfen, ob Systeme noch Windows 10 1607 oder 1809 bzw. Windows Server 2016 oder 2019 einsetzen und ob erweiterter Support gilt.
• Auf Berichte über Ausnutzung achten und CISA KEV sowie die Herstellerinformationen erneut prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-96027 msrc.microsoft.com
• CVE.org record CVE-2026-96027 www.cve.org
• Strix: CVE-2026-96027 www.strix.ai
• Rapid7: Patch Tuesday November 2026 review www.rapid7.com
• Tenable: Microsoft November 2026 Patch Tuesday www.tenable.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 07:50.