Windows Connected User Experiences and Telemetry: Use-after-free-Rechteausweitung

Zusammenfassung

Eine Use-after-free-Schwachstelle in der Komponente Windows Connected User Experiences and Telemetry erlaubt einem berechtigten lokalen Angreifer, seine Rechte zu erhöhen. Der Angreifer benötigt ein gültiges Benutzerkonto mit niedrigen Rechten und lokalen Zugriff auf das betroffene System, weshalb die Schwachstelle nicht direkt aus dem Internet erreichbar ist. Bei einer Ausnutzung bewertet der CVSS-Vektor die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit als hoch, was die vollständige Kontrolle über den Host bedeuten kann.

Betroffen

• Windows 10 Version 1607 und Windows Server 2016 (inklusive Server Core): Builds vor 10.0.14393.9688
• Windows 10 Version 1809 und Windows Server 2019 (inklusive Server Core): Builds vor 10.0.17763.9487
• Windows 10 Version 21H2: Builds vor 10.0.19044.7846
• Windows 10 Version 22H2: Builds vor 10.0.19045.7846 (laut Drittanbieter-Aggregator; Eintrag im CVE-Record abgeschnitten)
• Windows 11 Version 23H2: Builds vor 10.0.22631.7711
• Windows 11 Version 24H2: Builds vor 10.0.26100.9974
• Windows 11 Version 25H2: Builds vor 10.0.26200.9974
• Windows 11 Version 26H1: Builds vor 10.0.28000.3501
• Windows 11 Version 26H2: Builds vor 10.0.26300.9974
• Windows Server 2022: Builds vor 10.0.20348.5870 (laut CVE-Record; der Aggregator nennt denselben Wert)
• Windows Server 2025: nicht in der Primärquelle aufgeführt; der Aggregator nennt 10.0.26100.33822, was unverifiziert ist

Behoben in

• Korrigierte Builds wie oben aufgeführt; vor dem Rollout gegen das MSRC-Advisory prüfen, da die Quellen nicht vollständig übereinstimmen.
• Patch im Rahmen des Patch Tuesday im November 2026 veröffentlicht, laut CVE-Record.
• KB-Nummern: Unbekannt.

Umgehung

Unbekannt. In den Quellen wurde kein Workaround gefunden; auf das Einspielen von Patches setzen.

Ausnutzung

• Keine Hinweise auf eine Ausnutzung in freier Wildbahn für diese CVE gefunden; Microsoft bewertet die Exploit-Reife als unbewiesen (E:U).
• Kein öffentlicher Proof of Concept gefunden.
• CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
• Ähnliche Use-after-free-Schwachstellen in Connected User Experiences aus September und Oktober 2026 zeigen in den Quellen keine Hinweise auf Ausnutzung.

Unsere Empfehlung

• Das Sicherheitsupdate vom November 2026 auf allen betroffenen Windows-10-, Windows-11- und Server-Systemen installieren; priorisiert auf gemeinsam genutzten Arbeitsstationen, Terminal- und RDP-Servern sowie auf Hosts, auf denen Benutzer keine Administratoren sind.
• Die korrigierte Build-Nummer vor dem Rollout gegen das MSRC-Advisory prüfen.
• Lokale interaktive Anmeldungen und Standardbenutzerrechte nach Möglichkeit einschränken.
• Endpoint Detection and Response (EDR) aktiviert lassen und auf verdächtige lokale Rechteausweitungen überwachen.
• Die CVSS-Abweichung beachten: CNA-Score 7.0, VulDB 8.8. Für die Priorisierung den CNA-Score verwenden und das Risiko als mittel bis hoch einstufen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE.org record www.cve.org
• Microsoft Security Update Guide (not verified directly) msrc.microsoft.com
• Strix.ai (secondary) www.strix.ai
• VulDB vuldb.com
• Rapid7 November 2026 Patch Tuesday www.rapid7.com
• Vulners PT-2026-87284 (similar Connected User Experiences flaws) vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 07:43.