Microsoft Windows WalletService: Rechteerweiterung durch Link Following

Zusammenfassung

Der Windows WalletService löst Links vor einem Dateizugriff nicht korrekt auf (CWE-59, Link Following). Ein lokaler Benutzer mit niedrigen Berechtigungen kann dies ausnutzen, um seine Rechte bis auf SYSTEM-Ebene zu erweitern, was volle Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit ermöglicht. Der Angriff setzt eine lokale Anmeldung und keine Benutzerinteraktion voraus, es handelt sich also um einen Eskalationsschritt und nicht um einen initialen Angriffsvektor. Microsoft hat Korrekturen für betroffene Windows-10-, Windows-11- und Windows-Server-Builds veröffentlicht.

Betroffen

• Windows 10 Version 1607 (10.0.14393.0 bis unter 10.0.14393.9612)
• Windows 10 Version 1809 (10.0.17763.0 bis unter 10.0.17763.9376)
• Windows 10 Version 21H2 (10.0.19044.0 bis unter 10.0.19044.7807)
• Windows 10 Version 22H2 (10.0.19045.0 bis unter 10.0.19045.7807, CNA-Fixwert unzuverlässig)
• Windows 11 Version 23H2 (10.0.22631.0 bis unter 10.0.22631.7652)
• Windows 11 Version 24H2 (10.0.26100.0 bis unter 10.0.26100.9711)
• Windows 11 Version 25H2 (10.0.26200.0 bis unter 10.0.26200.9711)
• Windows 11 Version 26H1 (10.0.28000.0 bis unter 10.0.28000.3231)
• Windows 11 Version 26H2 (10.0.26300.0 bis unter 10.0.26300.9711)
• Windows Server 2016, inklusive Server Core (10.0.14393.0 bis unter 10.0.14393.9612)
• Windows Server 2019, inklusive Server Core (10.0.17763.0 bis unter 10.0.17763.9376)
• Windows Server 2022 (10.0.20348.0 bis unter 10.0.20348.5761)

Behoben in

• Windows 10 1607 und Server 2016: 10.0.14393.9612 (CNA-Daten, noch nicht auf der MSRC-Seite verifiziert; KB-Nummer unbekannt)
• Windows 10 1809 und Server 2019: 10.0.17763.9376
• Windows 10 21H2: 10.0.19044.7807
• Windows 10 22H2: nicht verifiziert, auf der MSRC-Seite prüfen
• Windows 11 23H2: 10.0.22631.7652
• Windows 11 24H2: 10.0.26100.9711
• Windows 11 25H2: 10.0.26200.9711
• Windows 11 26H1: 10.0.28000.3231
• Windows 11 26H2: 10.0.26300.9711
• Windows Server 2022: 10.0.20348.5761

Umgehung

Unbekannt. Es ist keine offizielle Workaround-Massnahme dokumentiert. Das Einspielen des Patches ist die einzige dokumentierte Korrektur.

Ausnutzung

• Microsoft: nicht öffentlich bekannt gemacht.
• CISA SSVC: Ausnutzung keine, automatisierbar nein.
• Nicht im KEV-Katalog aufgeführt. EPSS unter 1 Prozent.
• Bis 1. November 2026 wurde kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Das Sicherheitsupdate vom Oktober 2026 auf allen betroffenen Builds installieren. Zuvor die genauen Build- und KB-Nummern auf der MSRC-Seite prüfen.
• Windows-10-1607- und Server-2016-Systeme, Terminalserver sowie gemeinsam genutzte Mehrbenutzersysteme priorisieren.
• Prüfen, ob Windows 10 1607 noch unterstützt wird, und bei fehlendem Support eine Migration planen.
• Auf Ausnutzung oder einen öffentlichen Proof of Concept für diese CVE überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-96243 msrc.microsoft.com
• Vulners: CVE-2026-96243 (CNA data) vulners.com
• OpenCVE: CVE-2026-96243 app.opencve.io
• 0patch: Micropatches for Windows WalletService elevation of privilege 0patch.com
• SentinelOne: CVE-2026-49176 (related WalletService flaw) www.sentinelone.com
• Cybersecuritynews: Windows WalletService vulnerability PoC released cybersecuritynews.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 00:57.