CVE-2026-32202
Microsoft Windows Protection Mechanism Failure Vulnerability
Beschreibung
CVE-2026-32202 ist ein Schutzmechanismus-Versagen der Stufe MEDIUM in Microsoft Windows Shell mit einem CVSS-3.1-Score von 4.3. Die Schwachstelle erlaubt einem nicht autorisierten Remote-Angreifer Spoofing über das Netzwerk — etwa indem Windows Shell dazu gebracht wird, einen Sicherheitsindikator oder eine Vertrauensgrenze für ein präpariertes, an den Benutzer ausgeliefertes Element falsch darzustellen. Die Ausnutzung erfordert Benutzerinteraktion (typischerweise das Öffnen oder Voransichten einer bösartigen Datei), aber keine Authentifizierung. CISA hat CVE-2026-32202 am 28. April 2026 in den KEV-Katalog aufgenommen, mit Patch-Frist 12. Mai 2026, nachdem In-the-Wild-Nutzung gegen Windows-Endpunkte beobachtet wurde. Der EPSS-Score von 0.0009 (26. Perzentil) ist niedrig, doch die KEV-Aufnahme bestätigt, dass gezielte Akteure diese Windows-Shell-Spoofing-Schwachstelle aktiv in größere Social-Engineering- oder Initial-Access-Ketten integrieren.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:NIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1607 | < 10.0.14393.9060 |
| microsoft | windows 10 1809 | < 10.0.17763.8644 |
| microsoft | windows 10 21h2 | < 10.0.19044.7184 |
| microsoft | windows 10 22h2 | < 10.0.19045.7184 |
| microsoft | windows 11 23h2 | < 10.0.22631.6936 |
| microsoft | windows 11 24h2 | < 10.0.26100.8246 |
| microsoft | windows 11 25h2 | < 10.0.26200.8246 |
| microsoft | windows 11 26h1 | < 10.0.28000.1836 |
| microsoft | windows server 2012 | -; r2 |
| microsoft | windows server 2016 | < 10.0.14393.9060 |
| microsoft | windows server 2019 | < 10.0.17763.8644 |
| microsoft | windows server 2022 | < 10.0.20348.5020 |
| microsoft | windows server 2022 23h2 | < 10.0.25398.2274 |
| microsoft | windows server 2025 | < 10.0.26100.32690 |
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-32202(Vendor Advisory)
- https://www.vicarius.io/vsociety/posts/cve-2026-32202-detection-script-spoofing-vulnerability-in-windows-shell(Third Party Advisory)
- https://www.vicarius.io/vsociety/posts/cve-2026-32202-mitigation-script-spoofing-vulnerability-in-windows-shell(Mitigation, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-32202(Third Party Advisory, US Government Resource)
Schwachstellentyp
CWE-693: Versagen von Schutzmechanismen
Versagen von Schutzmechanismen tritt auf, wenn ein Produkt einen Schutzmechanismus, der ausreichende Verteidigung gegen gerichtete Angriffe bieten würde, nicht oder fehlerhaft einsetzt. Bei CVE-2026-32202 versäumt es Windows Shell — die Komponente, die für Desktop-Rendering, Datei-Voransichten und Vertrauensindikatoren wie Mark-of-the-Web (MOTW) und SmartScreen-Prompts zuständig ist — einen dieser Schutzmechanismen korrekt durchzusetzen oder auszuwerten, sodass ein präpariertes Element vertrauenswürdiger erscheint, als es tatsächlich ist. Das Resultat ist ein per Netzwerk ausgeliefertes Spoofing: Der Angreifer kontrolliert die sichtbare Darstellung einer Datei oder eines Shell-Artefakts so, dass der Benutzer angreifer-kontrollierten Inhalten vertraut.
Mehr erfahren: CWE-693 — Protection Mechanism Failure
Auswirkungsanalyse
CVE-2026-32202 hat einen CVSS-3.1-Score von 4.3 (MEDIUM) mit dem Vektor AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N — netzwerkbasiert ausnutzbar bei niedriger Komplexität, ohne Privilegien, jedoch mit erforderlicher Benutzerinteraktion und nur Low-Wirkung auf die Vertraulichkeit (keine Wirkung auf Integrität oder Verfügbarkeit). Für sich genommen ist die Schwachstelle ein Spoofing-Primitiv und keine Code-Execution-Schwachstelle: Der Angreifer kann nicht direkt Code ausführen oder Daten verändern, kann jedoch beeinflussen, was der Benutzer in Windows Shell sieht — und ihn so überzeugen, dass eine bösartige Datei, ein Link oder ein Shell-Element legitim sei. In der Praxis ist dies eine Sprungbrett-Schwachstelle, typischerweise verkettet mit einer separaten Code-Execution-Schwachstelle oder einer Malware-Payload, die der Benutzer dann eher startet, weil Windows Shell deren Herkunft oder Vertrauensstatus falsch darstellt. Die KEV-Listung zeigt, dass aktive Akteure CVE-2026-32202 in reale Eindringensketten integriert haben — Verteidiger sollten sie daher trotz der mittleren CVSS-Bewertung nicht als reines „Spoofing-Problem" deprioritisieren.
Exploit-Reifegrad
Aktive Ausnutzung: CISA hat die In-the-Wild-Ausnutzung von CVE-2026-32202 durch Aufnahme in den Known-Exploited-Vulnerabilities-Katalog am 28. April 2026 bestätigt. Öffentliche Exploits: In den NVD-Referenzen ist derzeit kein öffentlicher Proof-of-Concept-Code katalogisiert, und keiner der gelisteten Advisories trägt das Tag „Exploit" — siehe Microsofts MSRC-Eintrag für die offizielle Meldung. Das Fehlen eines öffentlichen PoC deutet darauf hin, dass die von CISA beobachtete Ausnutzung wahrscheinlich von einem erfahrenen Akteur stammt, der eine private Kette entwickelt hat — und nicht von massentauglicher Commodity-Malware. Ausnutzungswahrscheinlichkeit: Mit einem EPSS-Score von 0.0009 (0,09 %, 26. Perzentil) bewertet das Modell die kurzfristige Wahrscheinlichkeit breiter Ausnutzung als gering, was für Spoofing-Primitive typisch ist, die Benutzerinteraktion und maßgeschneidertes Social Engineering erfordern. Verkettungspotenzial: Spoofing in Windows Shell ist am gefährlichsten in Kombination mit Datei-Format-Schwachstellen, MOTW-Bypässen oder LNK/Internet-Shortcut-Missbrauch — Verteidiger sollten annehmen, dass CVE-2026-32202 als Teil eines mehrstufigen Initial-Access-Ablaufs eingesetzt wird, nicht als eigenständiger Exploit.
Behebung
- Microsofts kumulative Updates vom April 2026 sofort einspielen. Die gepatchten Builds sind in den Affected Products gelistet: Windows 10 1607/Server 2016 ≥ 10.0.14393.9060, Windows 10 1809/Server 2019 ≥ 10.0.17763.8644, Windows 10 21H2/22H2 ≥ 10.0.19044/19045.7184, Windows 11 23H2 ≥ 10.0.22631.6936, Windows 11 24H2/25H2 ≥ 10.0.26100/26200.8246, Windows 11 26H1 ≥ 10.0.28000.1836, Windows Server 2022 ≥ 10.0.20348.5020, Server 2022 23H2 ≥ 10.0.25398.2274, Server 2025 ≥ 10.0.26100.32690.
- Internet- und benutzerseitige Endpunkte priorisieren. Workstations, die für E-Mail, Web-Browsing und Datei-Handhabung genutzt werden, sind die primäre Angriffsoberfläche einer Spoofing-Schwachstelle. Patchen Sie zuerst Endbenutzer-Flotten und Hochrisiko-Rollen (Geschäftsführung, Finanzen, IT-Administration), erst danach Backend-Server.
- Mark-of-the-Web und SmartScreen verstärken. Stellen Sie sicher, dass Microsoft Defender SmartScreen aktiviert ist und dass Office Protected View, MOTW sowie ASR-Regeln, die ausführbare Inhalte aus E-Mail- und Webmail-Clients blockieren, bestehen bleiben — diese Maßnahmen mildern die Social-Engineering-Ketten, die typischerweise auf einen Shell-Spoofing-Trigger folgen.
- Erkennung: ungewöhnliche Shell-Artefakte jagen. Achten Sie auf neu zugestellte LNK-Dateien, Internet-Shortcuts (.url) und Archive-extrahierte Payloads, denen die erwarteten MOTW-Metadaten fehlen oder die SmartScreen-Warnungen auslösen. Korrelieren Sie mit E-Mail-Gateway-Logs, um die ursprünglichen Kampagnen zu identifizieren.
- Sensibilisierung der Benutzer. Weisen Sie Benutzer darauf hin, dass ein aktueller Windows-Shell-Vertrauensindikator auf ungepatchten Systemen keine Garantie ist, und bekräftigen Sie die bestehenden Regeln zum Öffnen von Anhängen und Links aus nicht vertrauenswürdigen Quellen — insbesondere bis die kumulativen Updates vom April 2026 in der Umgebung ausgerollt sind.
Technische Details
CVE-2026-32202 ist ein Schutzmechanismus-Versagen (CWE-693) in der Vertrauensindikator- und Darstellungs-Pipeline der Windows Shell. Der CVSS-3.1-Vektor AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N zeigt: Die Schwachstelle ist über das Netzwerk erreichbar, hat niedrige Angriffskomplexität, erfordert keine Authentifizierung und hängt davon ab, dass der Benutzer mit einem präparierten Element interagiert — etwa eine per E-Mail oder Web-Download zugestellte Datei öffnet. Die Wirkung ist auf einen Low-Vertraulichkeitseffekt mit Scope:Unchanged begrenzt: Das Spoofing-Primitiv erlaubt einem Angreifer, die visuelle oder semantische Darstellung eines Shell-Artefakts zu kontrollieren, sodass Vertrauen auf angreifer-kontrollierte Inhalte übertragen wird, statt direkt Daten preiszugeben. Microsofts Liste betroffener Produkte erstreckt sich über die gesamte supportete Windows-10- und Windows-11-Linie sowie über Windows Server 2012 R2 bis 2025, was darauf hindeutet, dass die fehlerhafte Schutzprüfung in geteiltem Shell-Code liegt, der über Release-Zweige hinweg geführt wird. Da diese Bug-Klasse typischerweise mit MOTW, Datei-Zuordnungs-Handling oder Zone-of-Origin-Erzwingung interagiert, besteht der praktische Angreifer-Workflow darin, eine bösartige Datei oder einen Shortcut so zu verpacken, dass Windows Shell sie als legitimes, risikoarmes Element rendert — die Erkennung sollte sich daher auf Shell-Artefakte konzentrieren, die vertrauenswürdig wirken, aber aus einer Netzwerk-Quelle stammen.
Häufig gestellte Fragen
Wird CVE-2026-32202 aktiv ausgenutzt?
Ja — CISA hat CVE-2026-32202 am 28. April 2026 in den KEV-Katalog aufgenommen, was bestätigte In-the-Wild-Ausnutzung anzeigt; der EPSS-Score von 0,09 % deutet allerdings auf gezielte statt massenhafte Kampagnen hin. Aktuell existiert kein öffentlicher Proof-of-Concept-Code, dennoch sollten Verteidiger innerhalb der Frist 12. Mai 2026 patchen.
Welche Produkte sind von CVE-2026-32202 betroffen?
CVE-2026-32202 betrifft alle derzeit supporteten Windows-Client- und Server-SKUs: Windows 10 (1607, 1809, 21H2, 22H2), Windows 11 (23H2, 24H2, 25H2, 26H1) sowie Windows Server 2012/2012 R2, 2016, 2019, 2022, 2022 23H2 und 2025. Die jeweils gepatchten Builds sind im Microsoft-Advisory vom April 2026 dokumentiert.
Wie behebe ich CVE-2026-32202?
Installieren Sie das kumulative Windows-Update vom April 2026 für Ihren spezifischen Windows-Build, priorisieren Sie benutzerseitige Endpunkte und stellen Sie sicher, dass Microsoft Defender SmartScreen, Mark-of-the-Web und ASR-Regeln aktiv sind, um die nachgelagerten Stufen der typischen Angriffskette abzufedern.
Wie schwerwiegend ist CVE-2026-32202?
CVE-2026-32202 ist als MEDIUM eingestuft (CVSS-3.1-Score 4.3) — nur Low-Vertraulichkeitswirkung, keine Integritäts- oder Verfügbarkeitswirkung. Die KEV-Aufnahme zeigt jedoch, dass reale Angreifer die Schwachstelle für nützlich genug halten, sie in Eindringensketten einzubinden — die operative Schwere ist also höher, als der Score allein vermuten lässt.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.