CVE-2025-60710
Microsoft Windows Link Following Vulnerability
Beschreibung
CVE-2025-60710 ist eine als HOCH eingestufte Link-Following- bzw. Symlink-Schwachstelle im Host-Prozess für Windows-Tasks in Microsoft Windows 11 und Windows Server 2025 mit einem CVSS-3.1-Score von 7.8. Ein lokal angemeldeter Angreifer kann die unsachgemäße Link-Auflösung vor dem Dateizugriff ausnutzen, um privilegierte Dateioperationen auf vom Angreifer kontrollierte Ziele umzuleiten und dadurch seine Rechte auf dem System zu erhöhen (Local Elevation of Privilege). Betroffen sind Windows 11 24H2, Windows 11 25H2 und Windows Server 2025 vor den Sicherheitsupdates von November 2025. CVE-2025-60710 ist im Katalog der bekannten aktiv ausgenutzten Schwachstellen (KEV) der CISA gelistet, mit einer Behebungsfrist für US-Bundesbehörden am 27. April 2026. Mit einem EPSS-Score von 0,17969 (95,2. Perzentil) weist CVE-2025-60710 eine deutlich erhöhte Ausnutzungswahrscheinlichkeit auf und sollte im Patch-Zyklus priorisiert werden.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 11 24h2 | < 10.0.26100.7392 |
| microsoft | windows 11 25h2 | < 10.0.26200.7392 |
| microsoft | windows server 2025 | < 10.0.26100.7392 |
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-60710(Vendor Advisory)
- https://www.vicarius.io/vsociety/posts/cve-2025-60710-detection-script-eop-vulnerability-in-host-process-for-windows-tasks(Third Party Advisory)
- https://www.vicarius.io/vsociety/posts/cve-2025-60710-mitigation-script-eop-vulnerability-in-host-process-for-windows-tasks(Mitigation, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-60710(US Government Resource)
Schwachstellentyp
CWE-59: Unsachgemäße Link-Auflösung vor Dateizugriff ('Link Following')
CVE-2025-60710 ist als CWE-59 klassifiziert — eine Link-Following-Schwachstelle, bei der der Host-Prozess für Windows-Tasks Dateien über Pfade öffnet, die ein Angreifer mittels symbolischer Links, Hardlinks oder NTFS-Junctions manipulieren kann. Da der privilegierte Task-Host nicht ausreichend prüft, ob der aufgelöste Pfad tatsächlich auf ein beabsichtigtes, autorisiertes Ziel verweist, kann ein niedrig privilegierter Benutzer Schreib- oder Löschvorgänge auf sensible Systemdateien umleiten und dadurch seine Berechtigungen erhöhen.
Mehr erfahren: CWE-59 — Unsachgemäße Link-Auflösung vor Dateizugriff ('Link Following')
Auswirkungsanalyse
CVE-2025-60710 hat einen CVSS-3.1-Basiswert von 7.8 (HOCH) mit dem Vektor AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H. Die Schwachstelle ist damit lokal ausnutzbar durch einen Angreifer, der bereits über niedrige Rechte auf dem Zielsystem verfügt, keine Benutzerinteraktion erfordert und geringe Angriffskomplexität aufweist, sobald der Host-Prozess für Windows-Tasks angesprochen werden kann. Der Scope ist Unchanged, d. h. die Ausnutzung bleibt auf die verwundbare Windows-Komponente beschränkt. Die Vertraulichkeits-, Integritäts- und Verfügbarkeitsauswirkungen sind jedoch jeweils als HOCH bewertet, weil eine erfolgreiche Rechteerhöhung unter Windows 11 bzw. Windows Server 2025 typischerweise SYSTEM-Rechte liefert, mit denen beliebige Dateien gelesen, Systemkonfigurationen verändert und Sicherheitskontrollen deaktiviert werden können. Angesichts eines EPSS-Scores von 17,97 % (95,2. Perzentil) und der bestätigten Aufnahme in den CISA-KEV-Katalog ist eine aktive Ausnutzung als hochwahrscheinlich einzustufen; jeder Initial-Access-Zugang auf einem ungepatchten Windows-11- oder Server-2025-Host sollte als wahrscheinlicher Pfad zur vollständigen Systemübernahme behandelt werden.
Exploit-Reifegrad
CVE-2025-60710 ist im CISA-Katalog der bekannten aktiv ausgenutzten Schwachstellen (KEV) gelistet (aufgenommen am 2026-04-13), was aktive Ausnutzung in freier Wildbahn gegenüber Microsoft-Windows-Link-Following-Schwachstellen unter dieser CVE-ID bestätigt. Öffentlich verfügbare Tools existieren: Vicarius hat sowohl ein Detection-Skript als auch ein Mitigation-Skript veröffentlicht, die die Angriffsfläche detailliert genug beschreiben, um sowohl Verteidigern als auch Exploit-Entwicklern zu dienen. Der EPSS-Score von 17,97 % (95,2. Perzentil) platziert CVE-2025-60710 unter den oberen 5 % der nach Ausnutzungswahrscheinlichkeit bewerteten Schwachstellen. CISA hat aktuell keine bekannte Ransomware-Verbindung markiert; lokale Rechteerhöhungs-Schwachstellen wie diese werden jedoch regelmäßig mit Phishing, Schadanhängen und RCE-Zugängen verkettet, um Benutzer-Level-Kompromittierungen in vollständige Host- oder Domain-Übernahmen zu überführen. Verteidiger sollten davon ausgehen, dass waffenfähiger Exploit-Code im Umlauf ist, und Patches vor der KEV-Frist 2026-04-27 priorisieren.
Behebung
- Microsoft-Sicherheitsupdate umgehend einspielen. Gemäß der CISA-Vorgabe für CVE-2025-60710 sind die Herstelleranweisungen umzusetzen und die BOD-22-01-Frist bis 2026-04-27 einzuhalten. Installieren Sie das kumulative Update von November 2025 oder neuer, das Windows 11 24H2 / Server 2025 auf Build 10.0.26100.7392 oder höher bzw. Windows 11 25H2 auf 10.0.26200.7392 oder höher hebt — Details siehe Microsoft Security Response Center Advisory.
- Bestand betroffener Builds erheben. Nutzen Sie Microsoft Configuration Manager, Intune oder Ihre bestehende Endpoint-Management-Plattform, um alle Windows 11 24H2, Windows 11 25H2 und Windows Server 2025 zu inventarisieren und die Build-Nummern mit den oben genannten Zielversionen abzugleichen.
- Übergangs-Mitigation von Vicarius einsetzen, falls ein Patch verzögert wird. Vicarius hat ein Mitigation-Skript für CVE-2025-60710 veröffentlicht, das sich als temporäre Kompensationsmaßnahme während der Test- und Rollout-Phase einsetzen lässt.
- Lokale Anmeldungen einschränken und Schreibrechte in gemeinsam genutzten Verzeichnissen begrenzen. Da CVE-2025-60710 lokalen, authentifizierten Zugriff voraussetzt, reduzieren die Einschränkung interaktiver Anmelderechte auf Servern, das Entfernen unnötiger Standard-Benutzersitzungen sowie das Prüfen der NTFS-Berechtigungen in Verzeichnissen, die für niedrig privilegierte Benutzer beschreibbar sind, den potenziellen Angreiferkreis.
- Auf Indikatoren für Link-Missbrauch jagen. Setzen Sie das Detection-Skript von Vicarius ein und prüfen Sie Windows-Eventlogs, Sysmon (Event ID 11 File Create, Event ID 15 File Stream) sowie EDR-Telemetrie auf auffällige Anlage von symbolischen Links, Junctions oder Hardlinks durch nicht-administrative Benutzer in Systempfaden.
- Langfristig gegen Link-Following härten. Setzen Sie die CWE-59-Empfehlung um, Dateien über bereits geöffnete Handles statt erneut über Pfade zu adressieren, aktivieren Sie Protected-Mode-Funktionen für privilegierte Dienste, wo verfügbar, und behalten Sie ASR-Regeln (Attack Surface Reduction) gegen Zugriffe auf LSASS und Anmeldeinformationen aktiv, um Post-Exploitation-Aktionen einzugrenzen.
Technische Details
CVE-2025-60710 liegt im Host-Prozess für Windows-Tasks (taskhostw.exe bzw. svchost-Surrogat), der Dateioperationen im Auftrag geplanter oder systemischer Aufgaben ausführt. Die Komponente löst Dateipfade auf, ohne ausreichend zu prüfen, ob Zwischenverzeichnisse oder Zieldateien symbolische Links, Hardlinks oder NTFS-Junctions sind, die von einem niedriger privilegierten Benutzer kontrolliert werden — das klassische CWE-59-Link-Following-Muster. Ein lokaler Angreifer, der einen präparierten Link in einen vom Task-Host später verwendeten Pfad platzieren kann, kann eine privilegierte Lese-, Schreib- oder Löschoperation auf ein sensibles Systemobjekt wie eine Konfigurationsdatei, DLL oder registry-gestützte Hive umleiten und erhält damit eine Rechteerhöhung auf die Berechtigungsstufe des Task-Hosts. Der CVSS-3.1-Vektor AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H bestätigt das Ausnutzungsprofil: lokaler Angriffsvektor, geringe Komplexität (Angreifer benötigen lediglich Schreibzugriff auf ein Verzeichnis, das der privilegierte Task-Host anfasst), niedrige Rechte erforderlich (jeder authentifizierte Benutzer), keine Benutzerinteraktion, und hohe Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit, da SYSTEM-Dateioperationen beliebig umgelenkt werden können. Betroffen sind Windows 11 24H2 vor 10.0.26100.7392, Windows 11 25H2 vor 10.0.26200.7392 und Windows Server 2025 vor 10.0.26100.7392.
Häufig gestellte Fragen
Wird CVE-2025-60710 aktiv ausgenutzt?
Ja. CVE-2025-60710 wurde am 2026-04-13 in den CISA-KEV-Katalog aufgenommen, was beobachtete Ausnutzung in freier Wildbahn bestätigt, und der EPSS-Score von 17,97 % (95,2. Perzentil) platziert die Schwachstelle unter den oberen 5 % nach Ausnutzungswahrscheinlichkeit. CISA hat aktuell keine Ransomware-Verbindung ausgewiesen, lokale Rechteerhöhungs-Schwachstellen wie diese werden jedoch typischerweise nach einem Initial-Access-Zugang in Angriffsketten eingesetzt.
Welche Produkte sind von CVE-2025-60710 betroffen?
CVE-2025-60710 betrifft Microsoft Windows 11 24H2 vor Build 10.0.26100.7392, Windows 11 25H2 vor 10.0.26200.7392 und Windows Server 2025 vor 10.0.26100.7392. Organisationen sollten diese SKUs inventarisieren und sicherstellen, dass jeder Endpunkt und Server das kumulative Update von November 2025 oder neuer erhalten hat.
Wie behebe ich CVE-2025-60710?
Installieren Sie das Microsoft-Sicherheitsupdate für den Host-Prozess für Windows-Tasks gemäß dem MSRC-Advisory, das die betroffenen Builds auf die oben genannten Zielversionen hebt, und halten Sie die CISA-BOD-22-01-Frist 2026-04-27 ein. Falls ein Patch verzögert wird, setzen Sie das Vicarius-Mitigation-Skript als Übergangslösung ein und suchen Sie aktiv nach auffälliger Anlage von Symlinks, Hardlinks oder Junctions durch nicht-administrative Benutzer.
Wie schwerwiegend ist CVE-2025-60710?
CVE-2025-60710 ist als HOCH eingestuft mit einem CVSS-3.1-Basiswert von 7.8, und das EPSS-Ranking im 95,2. Perzentil signalisiert nahezu sicheres Angreiferinteresse. Da eine erfolgreiche Ausnutzung zu einer lokalen Rechteerhöhung mit HOHEN Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit führt, sollten ungepatchte Windows-11- und Server-2025-Systeme als signifikantes Post-Compromise-Risiko betrachtet werden.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.