Microsoft Windows: Use-after-free in Winsock ermöglicht lokale Rechteerweiterung

Zusammenfassung

Ein Use-after-free-Fehler in der Windows-Komponente Winsock erlaubt einem berechtigten lokalen Benutzer, seine Rechte auf dem betroffenen System zu erweitern. Ein Angreifer benötigt ein bestehendes Benutzerkonto oder die Möglichkeit, Code auf dem Gerät auszuführen, und die Ausnutzung ist mit hoher Komplexität verbunden. Bei erfolgreicher Ausnutzung hat der Angreifer hohe Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit.

Betroffen

• Windows 10 Version 1607, 1809, 21H2 und 22H2 (Builds unterhalb von 10.0.14393.9688, 10.0.17763.9487, 10.0.19044.7846 bzw. 10.0.19045.7846)
• Windows 11 Version 23H2, 24H2, 25H2, 26H1 und 26H2 (gemäss CVE-Eintrag)
• Windows Server 2016, 2019 und 2022 (inklusive Server Core)
• Vollständige Build-Liste: siehe Microsoft-Advisory, da die Liste im CVE-Eintrag nicht vollständig verifiziert werden konnte.

Behoben in

• Das Microsoft-Sicherheitsupdate für Ihren Windows-Build installieren; die korrigierten Builds sind im Microsoft-Advisory aufgeführt.
• Nicht bestätigt aus einer Drittquelle: Windows 10 22H2 ab 10.0.19045.7846 und Windows 11 23H2 ab 10.0.22631.7711.

Umgehung

• Kein vom Hersteller dokumentierter Workaround bekannt.
• Bis zum Patchen: lokale Anmeldung auf vertrauenswürdige Benutzer beschränken und lokale Administratorrechte minimieren.

Ausnutzung

• Stand 10. Nov 2026 nicht als ausgenutzt bekannt.
• CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
• Kein öffentlicher Proof-of-Concept gefunden.
• Soweit bekannt nicht im CISA-KEV-Katalog aufgeführt; Katalog erneut prüfen.

Unsere Empfehlung

• Das Microsoft-Sicherheitsupdate im nächsten regulären Patch-Zyklus auf allen betroffenen Windows-10-, Windows-11- und Server-Systemen installieren.
• Die betroffene Build-Liste vor dem Rollout mit dem Microsoft-Advisory abgleichen.
• Veraltete Systeme mit Windows 10 1607 und 1809 identifizieren und prüfen, ob sie aktualisiert werden können.
• Lokale Anmeldung und Administratorrechte einschränken und Endpoint Detection bis zur Behebung aktiv halten.
• Auf verdächtige Rechteerweiterungen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE Record CVE-2026-96994 www.cve.org
• Microsoft Security Update Guide msrc.microsoft.com
• OffSeq Radar CVE-2026-96994 radar.offseq.com
• Strix CVE-2026-96994 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 07:30.