Microsoft Windows Subsystem for Linux: Rechteerweiterung durch Use-after-free

Zusammenfassung

Eine Use-after-free-Schwachstelle (CWE-416) in der Windows Subsystem for Linux (WSL)-Komponente mehrerer Windows-10-, Windows-11- und Windows-Server-Versionen erlaubt einem berechtigten lokalen Angreifer eine Rechteerweiterung. Der Angreifer benötigt ein lokales Konto mit niedrigen Berechtigungen, eine Benutzerinteraktion ist nicht erforderlich. Das System ist nicht direkt aus dem Internet erreichbar, die Schwachstelle ist jedoch auf gemeinsam genutzten Systemen, Terminal-Servern und Entwickler-Arbeitsstationen mit WSL relevant.

Betroffen

• Windows 10 Version 21H2: Builds unterhalb 10.0.19044.7807
• Windows 10 Version 22H2: Builds unterhalb 10.0.19045.7807
• Windows 11 Version 23H2: Builds unterhalb 10.0.22631.7652
• Windows 11 Version 24H2: Builds unterhalb 10.0.26100.9711
• Windows 11 Version 25H2: Builds unterhalb 10.0.26200.9711
• Windows 11 Version 26H1: Builds unterhalb 10.0.28000.3231
• Windows 11 Version 26H2: Builds unterhalb 10.0.26300.9711
• Windows Server 2022: Builds unterhalb 10.0.20348.5761
• Windows Server 2025 (inklusive Server Core): Builds unterhalb 10.0.26100.33650

Behoben in

• Windows 10 21H2: Build 10.0.19044.7807 (KB5126657, 13. Oktober 2026)
• Weitere aufgelistete Produkte: Sicherheitsupdates vom Oktober 2026 mit den genannten oder höheren Build-Nummern
• Exakte KB-Nummern für die übrigen Produkte: im MSRC Security Update Guide prüfen
• Supportumfang: KB5126657 ist für Windows 10 ESU sowie Windows 10 Enterprise und IoT Enterprise LTSC 2021 dokumentiert. Die Abdeckung für Windows 10 21H2 Home oder Pro ist unbekannt.

Umgehung

• Unbekannt. In den geprüften Quellen ist kein Workaround dokumentiert.
• Wird WSL auf einem System nicht benötigt, reduziert das Entfernen oder Deaktivieren von WSL das Risiko bis zur Installation des Updates.

Ausnutzung

• CISA SSVC: Exploitation none, automatable no, technical impact total.
• Kein öffentlicher Proof-of-Concept gefunden; EPSS 0.00000.
• Eine Quelle nennt ein CISA-KEV-Fälligkeitsdatum von 16.10.2026 neben dieser CVE; der KEV-Status ist unklar und muss im CISA-KEV-Katalog geprüft werden.

Unsere Empfehlung

• Das Windows-Sicherheitsupdate vom Oktober 2026 im nächsten Patch-Zyklus auf allen betroffenen Systemen installieren; gemeinsam genutzte Rechner, Terminal- oder RDS-Server und Entwickler-Arbeitsstationen mit WSL priorisieren.
• Windows-10-21H2-Geräte identifizieren und den Update-Pfad (ESU oder LTSC) bestätigen; Windows 10 21H2 ist nicht mehr im allgemeinen Support.
• Vor der endgültigen Priorisierung den CISA-KEV-Katalog und das MSRC-Advisory prüfen; bei bestätigter Ausnutzung dringlich behandeln.
• Lokale Konten und Berechtigungen überprüfen und auf Hosts auf verdächtige Rechteerweiterungen achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-96309 msrc.microsoft.com
• Microsoft KB5126657 (Windows 10 21H2/22H2 security update) support.microsoft.com
• Tenable plugin for KB5126657 www.tenable.com
• OpenCVE: CVE-2026-96309 app.opencve.io
• VulDB: CVE-2026-96309 vuldb.com
• Strix AI: CVE-2026-96309 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 00:54.