CVE-2026-41091
Microsoft Defender Link Following Vulnerability
Beschreibung
CVE-2026-41091 ist eine hochgradige Link-Following-Schwachstelle (unsachgemäße Link-Auflösung vor Dateizugriff) in Microsoft Defender. Durch das Ausnutzen der Art und Weise, wie Defender Datei-Links vor dem Dateizugriff auflöst, kann ein autorisierter lokaler Angreifer seine Rechte auf dem System ausweiten. Da Defenders Malware Protection Engine mit hohen Rechten läuft, kann das Umleiten ihrer Dateioperationen über vom Angreifer kontrollierte Links aus einem gewöhnlichen Benutzerkonto die vollständige SYSTEM-Kontrolle gewähren. Mit einem CVSS-Score von 7.8, einem EPSS-Score im 90. Perzentil und einer CISA-KEV-Listung wird CVE-2026-41091 ausgenutzt und sollte auf betroffenen Systemen zügig behoben werden.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | malware protection engine | >= 1.1.26030.3008, < 1.1.26040.8 |
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-41091(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-41091(Third Party Advisory, US Government Resource)
Schwachstellentyp
CWE-59: Unsachgemäße Link-Auflösung vor Dateizugriff ('Link Following')
In Microsoft Defender greift die Engine auf eine Datei zu, indem sie einem Link folgt, ohne dessen Ziel ausreichend zu prüfen, sodass ein Angreifer, der den Link kontrolliert (etwa ein Symlink oder eine Junction), eine privilegierte Dateioperation an einen Ort seiner Wahl umleiten kann. Dies erlaubt einem niedrig privilegierten Benutzer, den hochprivilegierten Defender-Prozess dazu zu bringen, Dateien zu lesen oder zu schreiben, die er nicht sollte, was zu Rechteausweitung führt.
Mehr erfahren: CWE-59 — Unsachgemäße Link-Auflösung vor Dateizugriff ('Link Following')
Auswirkungsanalyse
CVE-2026-41091 hat einen CVSS-3.1-Score von 7.8 (HOCH). Der Angriffsvektor ist lokal mit geringer Komplexität und erfordert nur niedrige Privilegien und keine Benutzerinteraktion, und kompromittiert bei Erfolg Vertraulichkeit, Integrität und Verfügbarkeit des Hosts vollständig. Die praktische Folge ist eine lokale Rechteausweitung: Ein Angreifer, der bereits als Standardbenutzer Fuß gefasst hat, kann Defenders privilegierte Dateiverarbeitung missbrauchen, um SYSTEM-Kontrolle zu erlangen — ein häufiger und wertvoller Schritt bei Aktivitäten nach einer Kompromittierung. Der EPSS-Score von 5,9 % liegt im 90,7. Perzentil, und die CISA-KEV-Listung bestätigt die Ausnutzung in freier Wildbahn, sodass dies ein vorrangiger Patch ist, auch wenn lokaler Zugriff erforderlich ist.
Exploit-Reifegrad
CVE-2026-41091 ist im CISA-KEV-Katalog gelistet, was eine aktive Ausnutzung bestätigt, und der EPSS-Score von 5,9 % (90,7. Perzentil) spiegelt eine im Vergleich zu den meisten CVEs erhöhte Ausnutzungswahrscheinlichkeit wider. In den NVD-Referenzen findet sich kein als „Exploit“ gekennzeichneter öffentlicher Proof-of-Concept — die Hauptquelle ist das Microsoft-MSRC-Advisory —, doch Link-Following-Rechteausweitungstechniken gegen Sicherheitsprodukte sind gut verstanden und werden häufig in Angriffs-Toolkits verkettet. Da Defender seine Engine automatisch aktualisiert, erhalten die meisten Systeme den Fix über die normalen Update-Kanäle, doch Verteidiger sollten die Engine-Version überprüfen und jeden Hinweis auf lokale Rechteausweitung ernst nehmen.
Behebung
- Maßnahmen gemäß Herstelleranweisungen umsetzen, wie es die CISA-KEV-Frist vom 03.06.2026 vorschreibt: Stellen Sie sicher, dass die Microsoft Malware Protection Engine auf Version 1.1.26040.8 oder höher aktualisiert ist — betroffene Versionen reichen von 1.1.26030.3008 bis (aber nicht einschließlich) 1.1.26040.8.
- Vergewissern Sie sich, dass automatische Engine- und Definitionsupdates für Microsoft Defender aktiviert sind, da der Fix über den Engine-Update-Kanal ausgeliefert wird; überprüfen Sie die bereitgestellte Engine-Version über den gesamten Bestand hinweg.
- Wenden Sie Least-Privilege-Prinzipien an, sodass Standardbenutzer keine Symlinks oder Junctions an Orten erstellen können, auf die privilegierte Prozesse zugreifen, um die Gelegenheit zur Ausnutzung von Link-Following-Lücken zu reduzieren.
- Überwachen Sie auf Indikatoren für lokale Rechteausweitung wie unerwartete Prozesserstellung auf SYSTEM-Ebene, verdächtige Symlink-/Junction-Erstellung und anomale Dateioperationen der Defender-Engine.
- Stellen Sie als langfristige Härtung gegen Link-Following-Schwachstellen sicher, dass privilegierte Dienste Dateipfade kanonisieren und validieren und Links sicher auflösen, bevor sie darauf zugreifen, und halten Sie Endpoint-Sicherheitskomponenten auf ihren neuesten Engine-Builds.
Technische Details
CVE-2026-41091 ist eine unsachgemäße Link-Auflösung vor Dateizugriff (CWE-59) in der Malware Protection Engine von Microsoft Defender. Wenn die Engine über einen Link auf eine Datei zugreift, ohne sicher zu validieren, wohin dieser Link zeigt, kann ein lokaler Angreifer, der das Link-Ziel kontrollieren kann, eine privilegierte Dateioperation umleiten und Defender dazu bringen, auf eine vom Angreifer gewählte Datei zu wirken — ein klassisches Link-Following-Primitiv für Rechteausweitung. Der CVSS-Vektor (CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H) spiegelt einen lokalen, gering komplexen Angriff wider, der nur niedrige Privilegien und keine Benutzerinteraktion erfordert, mit voller Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit. Betroffene Builds reichen von der Malware Protection Engine 1.1.26030.3008 bis, aber nicht einschließlich, 1.1.26040.8, die den Fix enthält.
Häufig gestellte Fragen
Wird CVE-2026-41091 aktiv ausgenutzt?
Ja. CVE-2026-41091 ist im CISA-KEV-Katalog gelistet, und der EPSS-Score von 5,9 % platziert die Schwachstelle im 90,7. Perzentil der Ausnutzungswahrscheinlichkeit, was darauf hindeutet, dass sie als lokaler Rechteausweitungsvektor in freier Wildbahn ausgenutzt wird.
Welche Produkte sind von CVE-2026-41091 betroffen?
Die Schwachstelle betrifft die Microsoft Malware Protection Engine (genutzt von Microsoft Defender) in den Versionen von 1.1.26030.3008 bis, aber nicht einschließlich, 1.1.26040.8.
Wie behebe ich CVE-2026-41091?
Stellen Sie sicher, dass die Microsoft Malware Protection Engine auf Version 1.1.26040.8 oder höher aktualisiert ist. Da die Engine automatisch aktualisiert wird, überprüfen Sie, ob automatische Updates aktiviert sind, und bestätigen Sie die bereitgestellte Engine-Version über Ihre Systeme hinweg.
Wie schwerwiegend ist CVE-2026-41091?
CVE-2026-41091 ist mit einem CVSS-3.1-Score von 7.8 als HOCH eingestuft. Sie erlaubt einem autorisierten lokalen Angreifer, durch Missbrauch von Defenders Link-Handhabung Rechte auszuweiten und potenziell aus einem Standardbenutzerkonto SYSTEM-Kontrolle zu erlangen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.