CVE-2026-21519
Microsoft Windows Type Confusion Vulnerability
Beschreibung
CVE-2026-21519 ist eine schwerwiegende Type-Confusion-Schwachstelle im Windows Desktop Window Manager (DWM), die einem lokal authentifizierten Angreifer die Eskalation von Privilegien ermoeglicht. Die Schwachstelle erhaelt einen CVSS v3.1-Score von 7.8 (HIGH) und betrifft zahlreiche Windows-Versionen, darunter Windows 10 (1607, 1809, 21H2, 22H2), Windows 11 (23H2, 24H2, 25H2) sowie Windows Server 2016.
Die CISA hat CVE-2026-21519 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 3. Maerz 2026. Der Ransomware-Status wird als Unknown gefuehrt. Der EPSS-Score liegt bei 2.03 % (83.5. Perzentil), was eine ueberdurchschnittliche Ausnutzungswahrscheinlichkeit signalisiert. Durch die lokale Natur des Angriffs und die Privilege-Escalation-Faehigkeit ist diese Schwachstelle besonders gefaehrlich in Szenarien, in denen Angreifer bereits initialen Zugang zu einem System erlangt haben.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1607 | < 10.0.14393.8868 |
| microsoft | windows 10 1809 | < 10.0.17763.8389 |
| microsoft | windows 10 21h2 | < 10.0.19044.6937 |
| microsoft | windows 10 22h2 | < 10.0.19045.6937 |
| microsoft | windows 11 23h2 | < 10.0.22631.6649 |
| microsoft | windows 11 24h2 | < 10.0.26100.7781 |
| microsoft | windows 11 25h2 | < 10.0.26200.7781 |
| microsoft | windows server 2016 | < 10.0.14393.8868 |
| microsoft | windows server 2019 | < 10.0.17763.8389 |
| microsoft | windows server 2022 | < 10.0.20348.4711 |
| microsoft | windows server 2022 23h2 | < 10.0.25398.2149 |
| microsoft | windows server 2025 | < 10.0.26100.32313 |
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-21519(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-21519(US Government Resource)
Schwachstellentyp
CWE-843: Access of Resource Using Incompatible Type (Type Confusion)
CVE-2026-21519 basiert auf CWE-843 (Type Confusion), einer Schwachstellenklasse, bei der ein Programm auf eine Ressource mit einem inkompatiblen Typ zugreift. Bei einer Type Confusion wird ein Speicherobjekt als ein anderer Typ interpretiert als urspruenglich vorgesehen, was zu unkontrolliertem Speicherzugriff fuehren kann.
Im Kontext des Desktop Window Managers bedeutet dies, dass der DWM-Prozess ein internes Objekt mit einem falschen Typ verarbeitet. Da der DWM als privilegierter SYSTEM-Prozess laeuft, kann eine erfolgreiche Ausnutzung dieser Type Confusion zur vollstaendigen Uebernahme des Systems fuehren. Mehr erfahren
Auswirkungsanalyse
Die Auswirkungen von CVE-2026-21519 betreffen alle drei Sicherheitsdimensionen mit hoher Schwere. Vertraulichkeit: Ein Angreifer, der von einem niedrig-privilegierten Konto zu SYSTEM-Rechten eskaliert, erhaelt Zugriff auf alle gespeicherten Daten, Zugangsdaten anderer Benutzer, gespeicherte Passwoerter und vertrauliche Systemkonfigurationen. Credential Dumping und Zugriff auf geschuetzte Speicherbereiche werden moeglich (C:H).
Integritaet: Mit SYSTEM-Privilegien kann der Angreifer Systemdateien, Sicherheitsrichtlinien und Registry-Eintraege manipulieren. Die Installation von Rootkits, Backdoors oder persistenten Malware-Komponenten wird trivial. Sicherheitssoftware kann deaktiviert oder manipuliert werden (I:H). Verfuegbarkeit: Der Angreifer kann Systemdienste deaktivieren, Daten verschluesseln oder das gesamte System unbrauchbar machen (A:H). Der EPSS-Score von 2.03 % (83.5. Perzentil) und die Aufnahme in den KEV-Katalog bestaetigen, dass diese Schwachstelle aktiv als Teil von Angriffsketten ausgenutzt wird. Die breite Palette betroffener Windows-Versionen vergroessert die Angriffsflaeche erheblich.
Exploit-Reifegrad
CVE-2026-21519 wurde von der CISA in den KEV-Katalog aufgenommen, mit einer verpflichtenden Behebungsfrist bis zum 3. Maerz 2026. Der Ransomware-Status wird als Unknown gefuehrt, was bedeutet, dass eine Nutzung durch Ransomware-Akteure nicht ausgeschlossen werden kann. Der EPSS-Score von 2.03 % (83.5. Perzentil) positioniert diese Schwachstelle deutlich ueber dem Durchschnitt hinsichtlich der Ausnutzungswahrscheinlichkeit.
Microsoft hat im Security Response Center (MSRC) ein Advisory und Sicherheitsupdates bereitgestellt. Die CISA KEV-Listung unterstreicht die aktive Ausnutzung in freier Wildbahn. Type-Confusion-Schwachstellen im Desktop Window Manager sind besonders attraktiv fuer Angreifer, da der DWM als SYSTEM-Prozess laeuft und in jeder Windows-Session aktiv ist, was zuverlaessige Privilege Escalation ermoeglicht.
Behebung
-
Windows-Sicherheitsupdates umgehend installieren: Wenden Sie die von Microsoft bereitgestellten Sicherheitsupdates fuer alle betroffenen Windows-Versionen an. Betroffene Systeme umfassen Windows 10 1607 (< 10.0.14393.8868), Windows 10 1809 (< 10.0.17763.8389), Windows 10 21H2/22H2 (< 10.0.19044/19045.6937), Windows 11 23H2 (< 10.0.22631.6649), Windows 11 24H2 (< 10.0.26100.7781), Windows 11 25H2 (< 10.0.26200.7781) und Windows Server 2016 (< 10.0.14393.8868). Konsultieren Sie das MSRC Advisory fuer Details.
-
Least-Privilege-Prinzip durchsetzen: Stellen Sie sicher, dass Benutzerkonten nur die minimal notwendigen Rechte besitzen. Vermeiden Sie die Nutzung von Administrator-Konten fuer alltaegliche Aufgaben, da die Schwachstelle eine lokale Authentifizierung (PR:L) erfordert.
-
Endpoint Detection and Response (EDR) aktivieren: Konfigurieren Sie EDR-Loesungen, um verdaechtige Aktivitaeten im Zusammenhang mit dem Desktop Window Manager (dwm.exe) zu erkennen. Achten Sie auf ungewoehnliche Prozesserstellungen oder Speichermanipulationen durch den DWM-Prozess.
-
Windows Defender Credential Guard aktivieren: Aktivieren Sie Credential Guard auf unterstuetzten Systemen, um die Auswirkungen einer erfolgreichen Privilege Escalation zu begrenzen und den Zugriff auf gespeicherte Zugangsdaten zu erschweren.
Technische Details
CVE-2026-21519 betrifft den Windows Desktop Window Manager (DWM), eine zentrale Systemkomponente, die fuer das Rendern der grafischen Benutzeroberflaeche zustaendig ist. Der CVSS-Vektor CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H beschreibt einen lokalen Angriffsvektor (AV:L) mit geringer Komplexitaet (AC:L), der niedrige Privilegien (PR:L) erfordert, aber keine Benutzerinteraktion (UI:N) benoetigt.
Die zugrunde liegende Type Confusion (CWE-843) entsteht, wenn der DWM ein internes Objekt mit einem inkompatiblen Typ verarbeitet. Bei der Verarbeitung von Fensterobjekten und deren Eigenschaften kann ein Angreifer durch gezielte Manipulation bewirken, dass ein Objekt als ein anderer Typ interpretiert wird. Dies fuehrt zu unkontrolliertem Speicherzugriff, der fuer die Ausfuehrung beliebigen Codes im Kontext des DWM-Prozesses ausgenutzt werden kann. Da der DWM unter dem SYSTEM-Konto laeuft, erhaelt der Angreifer dadurch vollstaendige Systemrechte.
Betroffene Versionen umfassen eine breite Palette von Windows-Editionen: Windows 10 (1607, 1809, 21H2, 22H2), Windows 11 (23H2, 24H2, 25H2) und Windows Server 2016. Der unveraenderte Scope (S:U) begrenzt die formale CVSS-Bewertung, jedoch ist der praktische Einfluss durch die SYSTEM-Privilegien des DWM-Prozesses wesentlich groesser.
Häufig gestellte Fragen
Was ist der Desktop Window Manager und warum ist die Schwachstelle gefaehrlich?
Der Desktop Window Manager (dwm.exe) ist ein zentraler Windows-Systemprozess, der die grafische Darstellung aller Fenster verwaltet. Er laeuft mit SYSTEM-Privilegien und ist in jeder Windows-Session aktiv. Eine Type-Confusion-Schwachstelle in diesem Prozess ermoeglicht es einem Angreifer, von einem normalen Benutzerkonto zu vollstaendigen SYSTEM-Rechten zu eskalieren.
Kann CVE-2026-21519 remote ausgenutzt werden?
Nein, die Schwachstelle erfordert lokalen Zugriff auf das System (AV:L) mit einem authentifizierten Benutzerkonto (PR:L). Allerdings wird sie typischerweise als Teil einer Angriffskette eingesetzt, bei der ein Angreifer zunuechst ueber eine andere Schwachstelle initialen Zugang erlangt und dann CVE-2026-21519 zur Privilege Escalation nutzt.
Welche Windows-Versionen sind betroffen?
Betroffen sind Windows 10 (Versionen 1607, 1809, 21H2, 22H2), Windows 11 (Versionen 23H2, 24H2, 25H2) und Windows Server 2016. Die spezifischen Build-Nummern, unterhalb derer Systeme verwundbar sind, finden Sie im Microsoft Security Advisory.
Warum wurde CVE-2026-21519 in den KEV-Katalog aufgenommen?
Die Aufnahme in den CISA KEV-Katalog bedeutet, dass die Schwachstelle nachweislich in realen Angriffen ausgenutzt wird. US-Bundesbehoerden sind verpflichtet, den Patch bis zum 3. Maerz 2026 zu installieren. Alle Organisationen sollten diese Frist als dringende Empfehlung betrachten.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.