Microsoft Windows Installer: Use after free ermöglicht lokale Rechteerweiterung

Zusammenfassung

Der Windows Installer, die Windows-Komponente zur Installation, Reparatur und Entfernung von MSI-Paketen, enthält eine Use-after-free-Schwachstelle (CWE-416, CWE-822). Ein berechtigter lokaler Benutzer mit niedrigen Rechten kann diese ausnutzen, um erhöhte Rechte auf dem System zu erlangen. Für die Ausnutzung sind eine hohe Angriffskomplexität und ein lokaler Zugriffspunkt nötig, weshalb das Hauptrisiko bei gemeinsam genutzten Arbeitsstationen, Terminalservern und Systemen mit vielen Benutzern liegt.

Betroffen

• Windows 10 Version 1607 (10.0.14393.0 bis vor 10.0.14393.9688)
• Windows 10 Version 1809 (10.0.17763.0 bis vor 10.0.17763.9487)
• Windows 10 Version 21H2 (10.0.19044.0 bis vor 10.0.19044.7846)
• Windows 10 Version 22H2 (10.0.19045.0 bis vor 10.0.19045.7846 laut einem Drittanbieter-Aggregator; der Eintrag im CNA-Datensatz ist abgeschnitten)
• Windows 11 Version 23H2 (10.0.22631.0 bis vor 10.0.22631.7711)
• Windows 11 Version 24H2 (10.0.26100.0 bis vor 10.0.26100.9974)
• Windows 11 Version 25H2 (10.0.26200.0 bis vor 10.0.26200.9974)
• Windows 11 Version 26H1 (10.0.28000.0 bis vor 10.0.28000.3501)
• Windows 11 Version 26H2 (10.0.26300.0 bis vor 10.0.26300.9974)
• Windows Server 2016, inklusive Server Core (10.0.14393.0 bis vor 10.0.14393.9688)
• Windows Server 2019, inklusive Server Core (10.0.17763.0 bis vor 10.0.17763.9487)
• Windows Server 2022 (10.0.20348.0 bis vor 10.0.20348.5870)

Behoben in

• Das Microsoft-Sicherheitsupdate für das betroffene Produkt installieren, damit der Build die im Abschnitt betroffene Version erreicht (zum Beispiel 10.0.14393.9688 oder höher auf Windows 10 1607 und Server 2016).
• Genaue KB-Artikelnummern: Unbekannt. Im Microsoft Security Update Guide prüfen.

Umgehung

Unbekannt. In den geprüften Quellen wurden keine Massnahmen zur Risikominderung gefunden.

Ausnutzung

• Aktive Ausnutzung in freier Wildbahn: keine Hinweise gefunden. Der CNA-Datensatz gibt die Reife des Exploit-Codes mit Unproven (E:U) an. Das Exploitability-Feld von Microsoft konnte nicht verifiziert werden.
• Öffentlicher Proof of Concept: keine Hinweise gefunden.

Unsere Empfehlung

• Das Windows-Sicherheitsupdate im normalen Update-Zyklus einspielen, mit Priorität auf Servern, Terminalservern und gemeinsam genutzten Systemen mit mehreren Benutzern.
• Die Windows-Build-Nummern aller Systeme mit der Liste der betroffenen Versionen abgleichen, da viele KMU noch ältere Windows-10-Builds einsetzen.
• Lokale Benutzerkonten und interaktive Anmeldungen auf gemeinsam genutzten Systemen einschränken, bis das Update eingespielt ist.
• Im Microsoft Security Update Guide die verbindlichen Build-Versionen und allfällige Massnahmen prüfen und den CISA-KEV-Katalog prüfen, sobald die CVE bewertet wurde.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-96061 msrc.microsoft.com
• CVE.org record CVE-2026-96061 www.cve.org
• Strix CVE-2026-96061 (third-party aggregator) www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 07:43.