Windows Installer: Use-after-free ermöglicht lokale Rechteerweiterung

Zusammenfassung

Der Windows Installer, die Windows-Komponente hinter MSI-Installationen, Reparaturen und Deinstallationen, enthält einen Use-after-free-Fehler (CWE-416). Ein lokaler Benutzer mit niedrigen Berechtigungen und ohne Benutzerinteraktion kann diesen ausnutzen, um seine Rechte auf dem System zu erweitern. Da lokaler Zugriff erforderlich ist, liegt das Hauptrisiko bei gemeinsam genutzten Arbeitsstationen, Mehrbenutzersystemen und Terminal-Servern und nicht bei Diensten mit Internetzugang. Microsoft hat am 13. Oktober 2026 ein Sicherheitsupdate veröffentlicht.

Betroffen

• Windows 10 Version 1607 (Builds vor 10.0.14393.9612)
• Windows Server 2016 (Builds vor 10.0.14393.9612)
• Windows 10 Version 1809 (Builds vor 10.0.17763.9376)
• Windows 10 Version 21H2 (Builds vor 10.0.19044.7807)
• Windows 10 Version 22H2 (Builds vor 10.0.19045.7807)
• Windows 11 Version 23H2 (Builds vor 10.0.22631.7652)
• Windows 11 Version 24H2, 25H2 und 26H2 (Builds vor 10.0.26100.9711 / 10.0.26200.9711 / 10.0.26300.9711)
• Windows 11 Version 26H1 (Builds vor 10.0.28000.3231)
• Windows Server 2012 und 2012 R2 (Builds vor 6.2.9200.26434 / 6.3.9600.23470)

Behoben in

• Sicherheitsupdate von Microsoft vom 13. Oktober 2026 für jede betroffene Version.
• Die korrigierten Builds sind im CVE-Eintrag oben aufgeführt; vor der Ausrollung die KB-Anleitung für die genaue Version auf der MSRC-Seite bestätigen.

Umgehung

• Unbekannt. Es wurde kein Workaround des Herstellers identifiziert.
• Unsere Empfehlung: Das Installieren von MSI-Paketen auf gemeinsam genutzten oder Mehrbenutzer-Systemen einschränken und mit Least-Privilege-Konten sowie Application Control arbeiten.

Ausnutzung

• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Nicht im CISA-Katalog der bekanntermassen ausgenutzten Schwachstellen (KEV) aufgeführt.
• In den geprüften Quellen wurde kein öffentlicher Proof-of-Concept gefunden; dies schliesst dessen Existenz nicht aus.
• Unbekannt, ob diese Schwachstelle bei Angriffen verwendet wurde.

Unsere Empfehlung

• Das Microsoft-Sicherheitsupdate vom Oktober 2026 auf allen betroffenen Windows-10-, Windows-11- und Windows-Server-Systemen installieren, mit Priorität auf Mehrbenutzer-Servern und Terminal-Servern.
• Prüfen, auf welchen Systemen Windows 10 Version 1607 oder Windows Server 2016 läuft, und deren Supportstatus auf den Lifecycle-Seiten von Microsoft bestätigen.
• Lokale Anmelde- und MSI-Installationsrechte auf notwendige Konten beschränken und auf unerwartete Installer-Aktivitäten achten.
• Die Priorität erhöhen, falls ein Eintrag im CISA-KEV-Katalog oder ein öffentlicher Exploit erscheint.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide: CVE-2026-96308 msrc.microsoft.com
• OpenCVE: CVE-2026-96308 (CVE record, CISA ADP data) app.opencve.io
• Vulners: VulnRichment CVE-2026-96308 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 00:53.