Windows Shell: Umgehung einer Sicherheitsfunktion über Command Injection

Zusammenfassung

Eine Command-Injection-Schwachstelle in der Windows Shell erlaubt einem nicht authentifizierten entfernten Angreifer, eine Sicherheitsfunktion zu umgehen. Die betroffene Funktion ist Mark of the Web, die Dateien aus dem lokalen Netzwerk markiert. Microsoft meldet eine aktive Ausnutzung, und die CISA hat die Schwachstelle in ihren Katalog bekannt ausgenutzter Schwachstellen aufgenommen. Es ist keine Authentifizierung nötig, aber ein Benutzer muss mitwirken, zum Beispiel indem er eine präparierte Datei öffnet, die per E-Mail oder Instant Message eingegangen ist.

Betroffen

• Windows 10 Version 1607 vor 10.0.14393.9612
• Windows 10 Version 1809 vor 10.0.17763.9376
• Windows 10 Version 21H2 vor 10.0.19044.7807
• Windows 10 Version 22H2 vor 10.0.19045.7807
• Windows 11 Version 23H2 vor 10.0.22631.7652
• Windows 11 Version 24H2 vor 10.0.26100.9711
• Windows 11 Version 25H2 vor 10.0.26200.9711
• Windows 11 Version 26H1 vor 10.0.28000.3231
• Windows 11 Version 26H2 vor 10.0.26300.9711
• Windows Server 2012 R2 (inklusive Server Core) vor 6.3.9600.23470
• Windows Server 2016 vor 10.0.14393.9612
• Microsoft Edge (Chromium-basiert) vor 154.0.4258.62
• Outlook.com vor 20260925.100 (Cloud-Dienst)

Behoben in

• Versionen ab den unter Betroffen aufgeführten Schwellenwerten, gemäss CVE-Eintrag
• Outlook.com: durch Microsoft dienstseitig behoben, kein Handlungsbedarf für Kunden
• Genaue Build-Nummern im MSRC Security Update Guide prüfen

Umgehung

Unbekannt. Das Einspielen des Patches ist die einzige dokumentierte Behebung.

Ausnutzung

• Ausnutzung festgestellt: ja, gemäss Microsoft und CISA
• Die CISA hat die Schwachstelle am 13. Oktober 2026 in den KEV-Katalog aufgenommen (Frist 16. Oktober 2026 für US-Bundesbehörden)
• Microsoft beschreibt die Verbreitung über eine präparierte Datei, die per E-Mail oder Instant Message gesendet wird
• Öffentlicher Proof of Concept: widersprüchliche Angaben, nicht verifiziert
• Kampagnendetails, Bedrohungsakteure und Payloads: unbekannt

Unsere Empfehlung

• Alle betroffenen Windows-Clients und -Server jetzt patchen, zuerst die Arbeitsstationen der Benutzer
• Prüfen, ob Edge und weitere aufgeführte Komponenten aktualisiert sind
• Strikte Filterung von E-Mail- und Chat-Anhängen beibehalten, insbesondere bei Archiv- und Disk-Image-Dateien
• Office Protected View und Makro-Einschränkungen aktiviert lassen
• Endpoint-Logs vor dem Patchen auf unerwartete Child-Prozesse prüfen
• Outlook.com-Kunden müssen nichts unternehmen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-96951 msrc.microsoft.com
• CISA Known Exploited Vulnerabilities Catalog: CVE-2026-96951 www.cisa.gov
• CISA alert: two known exploited vulnerabilities added to catalog www.cisa.gov
• Security Affairs: CISA adds Windows Shell flaw to KEV catalog securityaffairs.com
• Threat Frontier: Windows Shell CVE-2026-96951 MOTW bypass exploited threatfrontier.com
• Mallory: CVE-2026-96951 mallory.ai
• SOCPrime: CVE-2026-96951 analysis socprime.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 13:35.