Microsoft Windows Search Component: Lokale Rechteerweiterung über Link Following

Zusammenfassung

Eine lokale Rechteerweiterung (CWE-59, Link Following) betrifft die Windows Search Component auf mehreren unterstützten sowie einigen älteren Versionen von Windows 10, Windows 11 und Windows Server. Ein berechtigter lokaler Benutzer mit niedrigen Rechten kann eine unsachgemässe Auflösung von Links vor dem Dateizugriff ausnutzen, um höhere Rechte zu erlangen. Der CVSS-3.1-Basiswert beträgt 7.8. Ohne lokales Konto kann ein Angreifer die Lücke nicht direkt aus dem Internet ausnutzen. Microsoft stuft sie als wichtig ein, das Risiko besteht vor allem, nachdem ein Angreifer bereits Fuss auf einem System gefasst hat.

Betroffen

• Windows 10 Version 1607 und Windows Server 2016: 10.0.14393.0 bis vor 10.0.14393.9612
• Windows 10 Version 1809: 10.0.17763.0 bis vor 10.0.17763.9376
• Windows 10 Version 21H2: 10.0.19044.0 bis vor 10.0.19044.7807
• Windows 10 Version 22H2: 10.0.19045.0 bis vor 10.0.19045.7807
• Windows 11 Version 23H2: 10.0.22631.0 bis vor 10.0.22631.7652
• Windows 11 Version 24H2: 10.0.26100.0 bis vor 10.0.26100.9711
• Windows 11 Version 25H2: 10.0.26200.0 bis vor 10.0.26200.9711
• Windows 11 Version 26H1: 10.0.28000.0 bis vor 10.0.28000.3231
• Windows 11 Version 26H2: 10.0.26300.0 bis vor 10.0.26300.9711
• Windows Server 2012 (inklusive Server Core): 6.2.9200.0 bis vor 6.2.9200.26434
• Windows Server 2012 R2 (inklusive Server Core): 6.3.9600.0 bis vor 6.3.9600.23470

Behoben in

Installieren Sie das Microsoft-Sicherheitsupdate, das jedes betroffene Produkt mindestens auf den im CNA-Eintrag genannten Fix-Build bringt, zum Beispiel 10.0.14393.9612 für Windows 10 Version 1607 und Windows Server 2016. Prüfen Sie den genauen Fix-Build und den KB-Artikel auf der MSRC-Seite vor dem Rollout.

Umgehung

Unbekannt. In den geprüften Quellen ist kein Workaround des Herstellers dokumentiert.

Ausnutzung

• Aktive Ausnutzung in freier Wildbahn: Unbekannt. Es wurde kein bestätigter Eintrag im CISA-KEV-Katalog gefunden.
• SonicWall führt für diese CVE eine Erkennungssignatur (Oktober 2026). Dies deutet darauf hin, dass Tools für die Ausnutzung gesichtet wurden, ist aber kein Beweis für eine Ausnutzung.
• Es wurde kein öffentlicher Proof of Concept gefunden; dies schliesst aber nicht aus, dass einer existiert.
• CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.

Unsere Empfehlung

• Erfassen Sie alle Windows-Systeme, inklusive Windows 10 Version 1607 sowie Windows Server 2012 oder 2016.
• Spielen Sie das Sicherheitsupdate vom Oktober 2026 auf unterstützten Systemen ein und prüfen Sie den installierten Build.
• Planen Sie den Ersatz oder das Upgrade von nicht mehr unterstützten Systemen und prüfen Sie den Supportstatus auf den Microsoft-Lifecycle-Seiten.
• Beschränken Sie lokale Anmeldungen und administrative Rechte, insbesondere auf gemeinsam genutzten Mehrbenutzersystemen.
• Überwachen Sie kritische Systeme auf ungewöhnliche Rechteänderungen und verdächtige Aktivitäten mit Datei-Links.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Response Center: CVE-2026-96911 msrc.microsoft.com
• Vulners CVE record CVE-2026-96911 vulners.com
• SonicWall: Microsoft security bulletin coverage for October 2026 www.sonicwall.com
• EUVD-2026-100240 vulners.com
• OpenCVE: CVE-2026-96911 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 00:47.