CVE-2026-85880: Heap-Überlauf in Windows ALPC wird für Rechteausweitung genutzt

Microsoft hat einen Sicherheitshinweis zur Schwachstelle CVE-2026-85880 veröffentlicht – einem heap-based buffer overflow im Komponentenmodul Windows Advanced Local Procedure Call (ALPC). Die Schwachstelle ermöglicht es einem autorisierten lokalen Angreifer, seine Rechte im System auszuweiten. Laut den Metadaten von Microsoft wurde die Ausnutzung der Schwachstelle bereits beobachtet. ALPC ist ein interner Mechanismus für die Interprozesskommunikation im Windows-Kernel, der von praktisch allen Systemdiensten verwendet wird, was diese Schwachstelle potenziell gefährlich für ein breites Spektrum von Windows-Systemen macht. Administratoren wird empfohlen, die Verfügbarkeit von Sicherheitsupdates über Windows Update zu prüfen und diese mit hoher Priorität einzuspielen.

Technische Details

Die Schwachstelle ist als CWE-122 (Heap-based Buffer Overflow) – also als Pufferüberlauf im Heap-Bereich – klassifiziert. Nach Angaben der GitHub Advisory Database liegt die Einstufung der Schwere bei High mit einem Basiswert von CVSS v3 7.8. Das bedeutet ein hohes Gefährdungsniveau, wenn auch nicht kritisch: Für die Ausnutzung ist lokaler Zugriff und eine Anmeldung im System erforderlich.

ALPC (Advanced Local Procedure Call) ist ein leistungsstarker Mechanismus zur Interprozesskommunikation (IPC), der auf Ebene des Windows-Kernels arbeitet. Er wird für den Nachrichtenaustausch zwischen Prozessen genutzt und bildet die Grundlage für viele Systemdienste, darunter RPC, COM und den Aufgabenplaner. Ein Heap-Overflow in dieser Komponente ermöglicht es einem Angreifer, kritische Datenstrukturen im Speicher zu überschreiben und eine Codeausführung mit erweiterten Rechten zu erreichen.

Schlüsselparameter der Schwachstelle:

• Identifikator: CVE-2026-85880
• Typ: Rechteausweitung (Elevation of Privilege)
• Klasse der Schwachstelle: CWE-122, Pufferüberlauf im Heap
• CVSS v3: 7.8 (High)
• Angriffsvektor: lokal, Anmeldung erforderlich
• Status der Ausnutzung: Microsoft berichtet über erkannte Ausnutzung
• Öffentliche Offenlegung vor dem Patch: nein (nach Angaben von Microsoft)

Wichtig ist: Zum Zeitpunkt der Veröffentlichung sind weder im Microsoft-Sicherheitshinweis noch im Eintrag der GitHub Advisory Database konkrete betroffene Windows-Versionen oder Patch-Identifikatoren genannt. Das erschwert eine genaue Einschätzung des Umfangs des Problems. Der Eintrag in der GitHub Advisory Database ist auf den 8. September 2026 datiert.

Status der Ausnutzung und Bedrohungsbewertung

Die Metadaten des Microsoft-Bulletins enthalten die Kennzeichnung „Exploited: Yes“ und den Status „Exploitation Detected“ für aktuelle Softwareversionen. Es ist jedoch zu berücksichtigen, dass eine unabhängige Bestätigung aktiver Ausnutzung aus anderen Quellen bislang nicht eingeholt werden konnte – der CISA-KEV-Katalog war zum Zeitpunkt der Analyse für eine Überprüfung nicht verfügbar. Informationen zu konkreten Gruppen, Kampagnen oder Indikatoren einer Kompromittierung (IOC) liegen in den verfügbaren Quellen nicht vor.

Dennoch ist allein die Kennzeichnung von Microsoft als ausgenutzte Schwachstelle ein ernstzunehmendes Signal. Schwachstellen zur Rechteausweitung in Komponenten des Windows-Kernels sind für Angreifer traditionell von hohem Wert: Sie werden in der Post-Exploitation-Phase genutzt, um von einem eingeschränkten Zugang zu einer vollständigen Kontrolle über das System überzugehen. Zuvor haben wir bereits kritische Schwachstellen in Microsoft-Produkten analysiert – etwa die Remote Code Execution-Schwachstelle in Microsoft Entra ID und den Bypass eines Patch für Microsoft Defender, was auf einen anhaltenden Strom schwerwiegender Sicherheitsprobleme im Windows-Ökosystem hinweist.

Auswirkungsanalyse

ALPC ist einer der grundlegenden Mechanismen des Windows-Kernels und an der Arbeit nahezu jedes Prozesses beteiligt. Die Schwachstelle betrifft jede Organisation, die Windows-Systeme einsetzt, doch am stärksten gefährdet sind:

• Serverumgebungen – Domänencontroller, Dateiserver, Applikationsserver, bei denen eine Rechteausweitung zur Kompromittierung der gesamten Active-Directory-Infrastruktur führen kann
• Arbeitsstationen mit Mehrbenutzerzugriff – Terminalserver und Umgebungen mit virtuellen Desktops (VDI), in denen ein autorisierter Benutzer mit eingeschränkten Rechten die Kontrolle über das System erlangen kann
• Umgebungen, die Codeausführung durch nicht privilegierte Benutzer zulassen – einschließlich Entwicklungs- und Testsystemen

Bei erfolgreicher Ausnutzung kann ein Angreifer, der bereits über eingeschränkten Zugriff auf das System verfügt, Privilegien auf SYSTEM-Ebene erhalten, was Möglichkeiten für die Installation von Schadsoftware, das Abgreifen von Anmeldedaten, seitliche Bewegungen im Netzwerk und das Deaktivieren von Schutzmechanismen eröffnet.

Empfehlungen

Angesichts der von Microsoft gemeldeten Ausnutzung und der CVSS-Bewertung von 7.8 wird die folgende Vorgehensweise empfohlen:

1. Verfügbarkeit von Sicherheitsupdates prüfen über Windows Update, WSUS oder SCCM. Da konkrete Patch-Identifikatoren in den verfügbaren Quellen bislang nicht veröffentlicht wurden, sollten Aktualisierungen im Microsoft Security Update Guide verfolgt werden
2. Patchen kritischer Systeme priorisieren – Domänencontroller, Server mit vertraulichen Daten und Systeme, auf die ein großer Nutzerkreis zugreifen kann
3. Lokalen Zugriff einschränken auf Server und Arbeitsstationen: die Anzahl der Konten mit Recht auf lokale Anmeldung minimieren und die Mitgliedschaft in den Gruppen „Benutzer der Remotedesktopdienste“ überprüfen
4. Monitoring verstärken – ungewöhnliche Versuche zur Rechteausweitung, das Erstellen von Prozessen mit SYSTEM-Rechten aus dem Kontext normaler Benutzer sowie verdächtige Aktivitäten im Zusammenhang mit ALPC-Ports überwachen
5. Das Prinzip der geringsten Privilegien umsetzen – sicherstellen, dass Dienst- und Benutzerkonten keine übermäßigen Rechte besitzen

CVE-2026-85880 erfordert die sofortige Aufmerksamkeit von Sicherheitsteams: Die Kombination aus von Microsoft gemeldeter Ausnutzung, hoher CVSS-Bewertung und der Kritikalität der betroffenen Kernel-Komponente macht diese Schwachstelle zu einer Priorität für das Patchen. Bis ein Update verfügbar ist, sollten der lokale Zugriff auf Windows-Systeme so weit wie möglich eingeschränkt und das Monitoring von Ereignissen zur Rechteausweitung verstärkt werden.