CVE-2026-21533
Microsoft Windows Improper Privilege Management Vulnerability
Beschreibung
CVE-2026-21533 ist eine Schwachstelle zur lokalen Rechteausweitung in Windows Remote Desktop mit einem CVSS-Score von 7.8 (HIGH). Die Schwachstelle basiert auf einer unsachgemaessen Berechtigungsverwaltung, die es einem authentifizierten Angreifer ermoeglicht, seine Privilegien lokal zu erhoehen. Der Angriffsvektor ist lokal (AV:L) mit niedriger Komplexitaet (AC:L) und erfordert niedrige Berechtigungen (PR:L), jedoch keine Benutzerinteraktion (UI:N). Die CISA hat diese Schwachstelle in ihren Known Exploited Vulnerabilities (KEV) Katalog aufgenommen mit einer Frist bis zum 3. Maerz 2026. Der EPSS-Score betraegt 0.01616 (81.53. Perzentil), was auf eine erhoehte Ausnutzungswahrscheinlichkeit hindeutet. Betroffen sind alle aktuell unterstuetzten Windows-Versionen, einschliesslich Windows 10, Windows 11 und Windows Server 2016 bis 2025.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1607 | < 10.0.14393.8868 |
| microsoft | windows 10 1809 | < 10.0.17763.8389 |
| microsoft | windows 10 21h2 | < 10.0.19044.6937 |
| microsoft | windows 10 22h2 | < 10.0.19045.6937 |
| microsoft | windows 11 23h2 | < 10.0.22631.6649 |
| microsoft | windows 11 24h2 | < 10.0.26100.7781 |
| microsoft | windows 11 25h2 | < 10.0.26200.7781 |
| microsoft | windows server 2012 | -; r2 |
| microsoft | windows server 2016 | < 10.0.14393.8868 |
| microsoft | windows server 2019 | < 10.0.17763.8389 |
| microsoft | windows server 2022 | < 10.0.20348.4711 |
| microsoft | windows server 2022 23h2 | < 10.0.25398.2149 |
| microsoft | windows server 2025 | < 10.0.26100.32313 |
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-21533(Vendor Advisory)
- https://www.vicarius.io/vsociety/posts/cve-2026-21533-detection-script-privilege-escalation-vulnerability-in-windows-remote-desktop(Third Party Advisory)
- https://www.vicarius.io/vsociety/posts/cve-2026-21533-mitigation-script-privilege-escalation-vulnerability-in-windows-remote-desktop(Mitigation, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-21533(US Government Resource)
Schwachstellentyp
CWE-269: Improper Privilege Management
Die Schwachstelle wird als CWE-269 (Improper Privilege Management) klassifiziert. Dieser Schwachstellentyp beschreibt Situationen, in denen ein Produkt Berechtigungen nicht korrekt zuweist, aendert, verfolgt oder ueberprueft. Bei CVE-2026-21533 ermoeglicht eine fehlerhafte Berechtigungsverwaltung im Windows Remote Desktop-Dienst einem Benutzer mit niedrigen Privilegien, seine Rechte auf ein hoeheres Niveau zu eskalieren, typischerweise auf SYSTEM-Ebene. Dies stellt eine erhebliche Bedrohung dar, da ein Angreifer mit eingeschraenktem Zugang die vollstaendige Kontrolle ueber das betroffene System erlangen kann.
Auswirkungsanalyse
Die Auswirkungen von CVE-2026-21533 sind schwerwiegend und betreffen alle drei Schutzziele. Vertraulichkeit: Nach erfolgreicher Rechteausweitung kann der Angreifer auf saemtliche Daten des Systems zugreifen, einschliesslich geschuetzter Systemdateien, Credentials anderer Benutzer und vertraulicher Konfigurationen (C:H). Integritaet: Mit erhoehten Privilegien kann der Angreifer beliebige Systemdateien und Konfigurationen manipulieren, Backdoors installieren oder Sicherheitsmechanismen deaktivieren (I:H). Verfuegbarkeit: Der Angreifer kann das gesamte System lahmlegen oder nach Belieben Dienste stoppen und starten (A:H). Rechteausweitungs-Schwachstellen sind besonders gefaehrlich, da sie haeufig als Teil einer Angriffskette eingesetzt werden. Ein Angreifer, der bereits begrenzten Zugang zu einem System hat (etwa ueber einen kompromittierten Benutzer-Account oder eine andere Schwachstelle), kann CVE-2026-21533 nutzen, um vollstaendige Systemkontrolle zu erlangen. Die Aufnahme in den CISA KEV-Katalog bestaetigt die aktive Ausnutzung. Der Ransomware-Status ist unbekannt, jedoch werden Rechteausweitungs-Schwachstellen haeufig in Ransomware-Angriffen eingesetzt, um die Verschluesselung auf Systemebene durchzufuehren.
Exploit-Reifegrad
CVE-2026-21533 wird aktiv ausgenutzt, wie die Aufnahme in den CISA KEV-Katalog mit Frist zum 3. Maerz 2026 bestaetigt. Der EPSS-Score von 0.01616 im 81.53. Perzentil zeigt eine ueberdurchschnittliche Exploitation-Wahrscheinlichkeit. Rechteausweitungs-Schwachstellen (Privilege Escalation) sind bei Angreifern besonders begehrt, da sie ein zentrales Element in Angriffsketten darstellen. Typischerweise erlangt ein Angreifer zunaechst ueber Phishing, eine andere Schwachstelle oder kompromittierte Zugangsdaten Zugriff auf ein System mit niedrigen Berechtigungen und nutzt anschliessend eine Rechteausweitung wie CVE-2026-21533, um SYSTEM-Rechte zu erhalten. Die niedrige Angriffskomplexitaet und die Tatsache, dass nur niedrige Berechtigungen erforderlich sind, machen diese Schwachstelle fuer breit angelegte Angriffskampagnen attraktiv.
Behebung
-
Windows-Sicherheitsupdates installieren: Installieren Sie umgehend die aktuellen Patches ueber Windows Update oder den Microsoft Security Response Center.
-
Alle betroffenen Systeme aktualisieren: Stellen Sie sicher, dass alle Windows-Systeme auf die gepatchten Versionen aktualisiert sind: Windows 10 1607 (10.0.14393.8868), Windows 10 1809 (10.0.17763.8389), Windows 10 21H2/22H2 (10.0.19044.6937 bzw. 10.0.19045.6937), Windows 11 23H2 (10.0.22631.6649), Windows 11 24H2 (10.0.26100.7781), Windows 11 25H2 (10.0.26200.7781) sowie alle Server-Varianten.
-
Remote Desktop-Zugriff ueberpruefen: Ueberpruefen Sie, welche Benutzer und Gruppen Zugriff auf Remote Desktop haben. Beschraenken Sie den Zugriff auf das absolut notwendige Minimum und entfernen Sie ueberfluessige Berechtigungen.
-
Privilegierte Zugriffe ueberwachen: Implementieren Sie Monitoring fuer unerwartete Rechteausweitungen und verdaechtige Aktivitaeten mit erhoehten Privilegien. Achten Sie besonders auf ungewoehnliche SYSTEM-Prozesse.
-
Least-Privilege-Prinzip anwenden: Stellen Sie sicher, dass Benutzer nur die minimal notwendigen Berechtigungen haben. Dies reduziert die Auswirkungen einer erfolgreichen Ausnutzung.
-
Network Level Authentication (NLA) aktivieren: Stellen Sie sicher, dass NLA fuer Remote Desktop aktiviert ist, um die Angriffsoberflaeche zu reduzieren.
-
CISA-Frist einhalten: Alle betroffenen Systeme muessen bis zum 3. Maerz 2026 gepatcht sein.
Technische Details
CVE-2026-21533 betrifft den Windows Remote Desktop-Dienst und basiert auf einer unsachgemaessen Berechtigungsverwaltung (CWE-269). Der CVSS:3.1-Vektor AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H beschreibt einen lokalen Angriff mit niedriger Komplexitaet, der niedrige Berechtigungen erfordert, aber keine Benutzerinteraktion. Der Angreifer benoetigt zunaechst einen authentifizierten Zugang zum System mit eingeschraenkten Rechten. Durch Ausnutzung der fehlerhaften Berechtigungsverwaltung im Remote Desktop-Dienst kann er seine Privilegien auf SYSTEM-Ebene erhoehen. Der Scope bleibt unveraendert (S:U), was bedeutet, dass die Rechteausweitung innerhalb der verwundbaren Komponente stattfindet. Windows Remote Desktop (RDP) ist ein weit verbreiteter Dienst fuer die Fernverwaltung und den Remote-Zugriff auf Windows-Systeme. Die Schwachstelle betrifft alle unterstuetzten Windows-Versionen, darunter Windows 10 (Versionen 1607, 1809, 21H2, 22H2), Windows 11 (23H2, 24H2, 25H2) sowie Windows Server 2016, 2019, 2022 und 2025. Microsoft hat Sicherheitsupdates fuer alle betroffenen Versionen bereitgestellt.
Häufig gestellte Fragen
Was bedeutet Rechteausweitung (Privilege Escalation)?
Bei einer Rechteausweitung nutzt ein Angreifer eine Schwachstelle, um hoehere Berechtigungen als urspruenglich vorgesehen zu erlangen. Im Fall von CVE-2026-21533 kann ein Benutzer mit eingeschraenkten Rechten SYSTEM-Privilegien erlangen, was die hoechste Berechtigungsstufe unter Windows darstellt.
Kann CVE-2026-21533 remote ausgenutzt werden?
Der primaere Angriffsvektor ist lokal (AV:L), was bedeutet, dass der Angreifer bereits Zugang zum System benoetigt. Allerdings kann Remote Desktop selbst als initialer Zugangsvektor dienen, wenn ein Angreifer ueber kompromittierte Anmeldedaten verfuegt. Die Rechteausweitung erfolgt dann lokal auf dem Zielsystem.
Warum ist die Schwachstelle trotz lokalen Angriffsvektors als HIGH eingestuft?
Der CVSS-Score von 7.8 spiegelt die vollstaendige Kompromittierung aller Schutzziele wider (C:H/I:H/A:H). Auch wenn der Angriffsvektor lokal ist, erfordert die Ausnutzung nur niedrige Berechtigungen und keine Benutzerinteraktion, was die Schwachstelle fuer Angreifer sehr attraktiv macht.
Wie wird CVE-2026-21533 in Angriffsketten eingesetzt?
Typischerweise erlangt ein Angreifer zunaechst ueber Phishing, eine andere Schwachstelle oder gestohlene Zugangsdaten begrenzten Zugriff auf ein System. Anschliessend nutzt er CVE-2026-21533, um SYSTEM-Rechte zu erhalten und die vollstaendige Kontrolle ueber das System zu uebernehmen.
Wird CVE-2026-21533 fuer Ransomware genutzt?
Der offizielle Ransomware-Status ist derzeit unbekannt. Rechteausweitungs-Schwachstellen sind jedoch ein gaengiges Werkzeug in Ransomware-Angriffen, da sie es Angreifern ermoeglichen, die Verschluesselung mit SYSTEM-Rechten durchzufuehren und Sicherheitssoftware zu deaktivieren.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.