Windows Task Scheduler: Command Injection ermöglicht lokale Rechteerweiterung

Zusammenfassung

Eine Schwachstelle im Windows Task Scheduler erlaubt einem berechtigten lokalen Benutzer eine Rechteerweiterung, weil Sonderzeichen vor der Ausführung eines Befehls nicht neutralisiert werden (CWE-77). Ein Angreifer benötigt ein lokales Konto mit niedrigen Berechtigungen, eine Benutzerinteraktion ist nicht nötig. Eine erfolgreiche Ausnutzung kann dem Angreifer die vollständige Kontrolle über das System verschaffen, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit.

Betroffen

• Windows 10 Version 1607 und Windows Server 2016 (inklusive Server Core): Builds vor 10.0.14393.9688
• Windows 10 Version 1809 und Windows Server 2019 (inklusive Server Core): Builds vor 10.0.17763.9487
• Windows 10 Version 21H2: Builds vor 10.0.19044.7846
• Windows 10 Version 22H2: Builds vor 10.0.19045.7846
• Windows 11 Version 23H2: Builds vor 10.0.22631.7711
• Windows 11 Version 24H2: Builds vor 10.0.26100.9974
• Windows 11 Version 25H2: Builds vor 10.0.26200.9974
• Windows 11 Version 26H1: Builds vor 10.0.28000.3501
• Windows 11 Version 26H2: Builds vor 10.0.26300.9974
• Windows Server 2022: Builds vor 10.0.20348.5870

Behoben in

• Die Microsoft-Sicherheitsaktualisierung installieren, welche die betroffenen Builds auf die oben aufgeführten Versionen bringt.
• KB-Nummern: Unbekannt.

Umgehung

Unbekannt. Es ist keine Massnahme des Herstellers bestätigt.

Ausnutzung

• Zum Zeitpunkt der Veröffentlichung ist keine Ausnutzung in freier Wildbahn bekannt.
• Es wurde kein Eintrag im CISA-KEV-Katalog und kein öffentlicher Proof of Concept gefunden.
• Die CVSS-Exploit-Reife ist 'Unproven' (nicht bewiesen).
• CISA SSVC: Ausnutzung none, automatisierbar nein, technische Auswirkung total.

Unsere Empfehlung

• Betroffene Windows-Systeme patchen, sobald das MSRC-Advisory die KB- und Build-Nummern bestätigt.
• Priorität geben: gemeinsam genutzte Arbeitsstationen, Terminal- oder RDP-Server und Systeme, auf denen Benutzer lokal angemeldet sind.
• Lokale Administratorrechte reduzieren und nicht benötigte lokale Konten entfernen.
• Nach dem Patchen geplante Aufgaben auf unerwartete Einträge prüfen, die als SYSTEM laufen.
• NVD und CISA KEV erneut prüfen, da der Eintrag zum Zeitpunkt der Veröffentlichung noch in Analyse war.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE Record (CNA Microsoft) www.cve.org
• MSRC Security Update Guide msrc.microsoft.com
• Strix aggregator (third-party, verify against MSRC) www.strix.ai
• MITRE ATT&CK T1053.005 Scheduled Task (Atomic Red Team) www.atomicredteam.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 02:43.