Windows: Use-after-free im Kernel ermöglicht lokale Rechteausweitung

Zusammenfassung

Ein Use-after-free-Fehler (CWE-416) im Windows-Kernel erlaubt einem berechtigten lokalen Angreifer, seine Rechte zu erhöhen. Der Angreifer benötigt eine lokale Sitzung mit niedrigen Rechten, Benutzerinteraktion ist nicht erforderlich. Eine erfolgreiche Ausnutzung würde volle Kontrolle über das betroffene System ermöglichen, sodass ein lokaler Zugriff zu SYSTEM-Rechten führen könnte.

Betroffen

• Windows 10 Version 1809 (einschliesslich Windows 10 LTSC 2019): Builds 10.0.17763.0 bis vor 10.0.17763.9376
• Windows Server 2019 (einschliesslich Server Core): Builds 10.0.17763.0 bis vor 10.0.17763.9376
• Windows 10 Version 21H2: Builds 10.0.19044.0 bis vor 10.0.19044.7807
• Windows 10 Version 22H2: Builds 10.0.19045.0 bis vor 10.0.19045.7807 (der Wert im CNA-Eintrag scheint fehlerhaft zu sein, auf MSRC prüfen)
• Windows 11 Versionen 23H2, 24H2, 25H2, 26H1 und 26H2 (Build-Bereiche siehe CNA-Eintrag)
• Windows Server 2022: Builds 10.0.20348.0 bis vor 10.0.20348.5761
• Windows Server 2025 (einschliesslich Server Core): Builds 10.0.26100.0 bis vor 10.0.26100.33650

Behoben in

• Behoben im Microsoft-Sicherheitsupdate vom 13. Oktober 2026 (kumulatives Update vom Oktober 2026) für die betroffenen Windows-Versionen
• Behobene Builds gemäss CNA-Eintrag: Windows 10 1809 und Server 2019 10.0.17763.9376; Windows 10 21H2 10.0.19044.7807; Windows 11 23H2 10.0.22631.7652; Windows 11 24H2 und Server 2025 10.0.26100.9711 und 10.0.26100.33650; Windows Server 2022 10.0.20348.5761
• Genaue KB-Nummern: Unbekannt. Diese dem MSRC-Advisory entnehmen.

Umgehung

Unbekannt. Es ist kein Workaround des Herstellers dokumentiert. Das Einspielen von Patches ist die einzige dokumentierte Massnahme.

• Allgemeine Härtung reduziert die Angriffsfläche, ist aber kein Ersatz für einen Fix: Least Privilege, eingeschränkte interaktive und Remote-Desktop-Anmeldung sowie Endpoint Detection and Response (EDR).

Ausnutzung

• Nicht im Katalog der CISA Known Exploited Vulnerabilities aufgeführt.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Microsoft-Reifegrad des Exploit-Codes: Unproven.
• Öffentlicher Proof-of-Concept-Code: Unbekannt. Ein möglicher Zusammenhang mit einem öffentlichen Eintrag ist nicht verifiziert.

Unsere Empfehlung

• Das kumulative Update vom Oktober 2026 auf allen betroffenen Windows-10-, Windows-11- und Windows-Server-Systemen installieren. Verteilung über Windows Update, WSUS oder Intune.
• Systeme mit mehreren Benutzern, Remote-Desktop- oder Terminalzugriff sowie Server mit lokalen Konten priorisieren.
• Prüfen, ob noch Windows-10-1809- oder Server-2019-Systeme im Einsatz sind und ob diese noch erweiterten Support erhalten.
• Die behobenen Build-Nummern vor dem Rollout auf dem MSRC-Advisory verifizieren. Den NVD-Status erneut prüfen, da die Quellen voneinander abweichen.
• Auf ungewöhnliche lokale Rechteausweitung achten und lokale Anmelderechte einschränken.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-96317 msrc.microsoft.com
• Theori bug tracker: CVE-2026-96317 github.com
• Vulners CVE record: CVE-2026-96317 vulners.com
• OpenCVE: CVE-2026-96317 app.opencve.io
• Strix CVE summary: CVE-2026-96317 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 00:52.