Windows Installer: Lokale Rechteausweitung durch Type Confusion

Zusammenfassung

Ein Type-Confusion-Fehler im Windows Installer erlaubt einem Angreifer mit bereits vorhandener lokaler Anmeldung mit niedrigen Rechten, seine Berechtigungen zu erhöhen, möglicherweise bis zu SYSTEM. Der Angriff ist lokal (AV:L, PR:L, keine Benutzerinteraktion), es handelt sich also um eine Rechteausweitung nach einem initialen Zugriff und nicht um einen aus dem Internet erreichbaren Einstiegspunkt. Die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit werden als hoch eingestuft.

Betroffen

• Windows 10 Version 1607 (vor 10.0.14393.9688)
• Windows 10 Version 1809 (vor 10.0.17763.9487)
• Windows 10 Version 21H2 (vor 10.0.19044.7846)
• Windows 10 Version 22H2 (vor 10.0.19045.7846)
• Windows 11 Version 23H2 (vor 10.0.22631.7711)
• Windows 11 Version 24H2 (vor 10.0.26100.9974)
• Windows 11 Version 25H2 (vor 10.0.26200.9974)
• Windows 11 Version 26H1 (vor 10.0.28000.3501)
• Windows 11 Version 26H2 (vor 10.0.26300.9974)
• Windows Server 2016 inkl. Server Core (vor 10.0.14393.9688)
• Windows Server 2019 inkl. Server Core (vor 10.0.17763.9487)
• Windows Server 2022 (vor 10.0.20348.5870)

Behoben in

• Behoben in den Sicherheitsupdates von Microsoft vom November 2026 für die betroffenen Versionen.
• Die behobenen Builds entsprechen den oben als 'vor' aufgeführten Versionen (gemäss CVE-Eintrag).
• Die KB-Nummer pro Build ist unbekannt. Bitte im MSRC Security Update Guide bestätigen.

Umgehung

Unbekannt.

Ausnutzung

• Aktive Ausnutzung: zum Zeitpunkt der Veröffentlichung nicht bekannt.
• Öffentlicher Proof of Concept: keiner gefunden.
• Eintrag im CISA-KEV-Katalog: nicht verifiziert.
• CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.

Unsere Empfehlung

• Die Sicherheitsupdates vom November 2026 auf allen betroffenen Windows-10-, Windows-11- und Serversystemen installieren, zuerst auf Mehrbenutzersystemen wie Terminal- und Dateiservern sowie gemeinsam genutzten Arbeitsstationen.
• Die genaue behobene Version pro Build im MSRC-Eintrag bestätigen.
• Lokale Administratorrechte reduzieren und nicht benötigte lokale Anmeldungen entfernen.
• Systeme mit Windows-Versionen ermitteln, die keine Updates mehr erhalten, und deren Ersatz oder Upgrade planen.
• Den KEV-Status und die Verfügbarkeit von Proof-of-Concept-Code in den kommenden Tagen erneut prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-96028 msrc.microsoft.com
• CVE Record CVE-2026-96028 (CVE.org) www.cve.org
• Strix: CVE-2026-96028 (secondary source) www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 02:46.