Microsoft Windows Kerberos: Denial of Service durch Out-of-Bounds-Read

Zusammenfassung

Ein Out-of-Bounds-Read in der Windows-Kerberos-Authentifizierungskomponente erlaubt es einem authentifizierten Angreifer im Netzwerk, einen Denial of Service auszulösen. Kerberos wird von Active-Directory-Domänencontrollern und domänenintegrierten Systemen genutzt, weshalb ein Absturz die Anmeldungen im gesamten Unternehmen stören kann. Microsoft als CNA bewertet die Lücke mit CVSS 6.5 (AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H), und die NVD-Analyse war zum Zeitpunkt der Erfassung noch ausstehend.

Betroffen

• Windows 10 Version 1607 (Builds vor 10.0.14393.9688)
• Windows 10 Version 1809 (Builds vor 10.0.17763.9487)
• Windows 10 Version 21H2 (Builds vor 10.0.19044.7846)
• Windows 10 Version 22H2 (Builds vor 10.0.19045.7846)
• Windows 11 Version 23H2 (Builds vor 10.0.22631.7711)
• Windows 11 Version 24H2 (Builds vor 10.0.26100.9974)
• Windows 11 Version 25H2 (Builds vor 10.0.26200.9974)
• Windows 11 Version 26H1 (Builds vor 10.0.28000.3501)
• Windows 11 Version 26H2 (Builds vor 10.0.26300.9974)
• Windows Server 2016, inklusive Server Core (Builds vor 10.0.14393.9688)
• Windows Server 2019, inklusive Server Core (Builds vor 10.0.17763.9487)
• Windows Server 2022 (Builds vor 10.0.20348.5870)

Behoben in

• Das Sicherheitsupdate vom November 2026 für das betroffene Produkt installieren (die fixen Builds entsprechen den unter betroffen aufgeführten Versionen gemäss CVE-Eintrag).
• Die genaue KB-Nummer und den fixen Build auf der MSRC-Seite bestätigen, da die vollständige Produktliste in der Recherche nicht aus der Primärquelle verifiziert werden konnte.

Umgehung

Unbekannt.

Ausnutzung

• Bewertung CISA SSVC: Ausnutzung keine, nicht automatisierbar, partieller technischer Impact.
• Rapid7 stuft die Lücke als 'Exploitation Less Likely' ein und meldet keine öffentliche Offenlegung.
• Laut Senserva ist die Lücke nicht als ausgenutzt markiert und nicht im CISA-KEV-Katalog aufgeführt.
• In der Recherche wurde kein öffentlicher Proof of Concept und kein Exploit-Code gefunden (dies schliesst nicht aus, dass einer existiert).

Unsere Empfehlung

• Das kumulative Sicherheitsupdate vom November 2026 zuerst auf Domänencontroller und andere Kerberos-abhängige Server, danach auf Arbeitsstationen einspielen.
• Den fixen Build jedes Produkts auf der MSRC-Seite vor dem Rollout überprüfen.
• Den Zugriff auf interne Kerberos-Dienste einschränken und die Nutzung privilegierter sowie Standardkonten kontrollieren, da niedrige Berechtigungen ausreichen.
• Domänencontroller nach dem Patchen auf Abstürze oder Neustarts des Kerberos-Dienstes überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE Record CVE-2026-96082 (CVE Program) www.cve.org
• Microsoft Security Update Guide CVE-2026-96082 msrc.microsoft.com
• Senserva KB 5131090 (November 2026 update) senserva.com
• Strix CVE-2026-96082 (third-party, unconfirmed) www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 11:56.