Microsoft Defender: Lokale Rechteausweitung durch Link-Following-Schwachstelle

Zusammenfassung

Eine Sicherheitslücke in der Microsoft Malware Protection Engine (mpengine.dll) erlaubt einem authentifizierten Angreifer mit lokalen Zugriffsrechten eine Rechteausweitung auf SYSTEM-Ebene. Die Schwachstelle (CWE-59: Improper Link Resolution Before File Access) wird durch die unsachgemäße Auflösung von Dateiverknüpfungen vor dem Dateizugriff verursacht. Der CVSS-Score beträgt 7.8 (High). Microsoft stuft die Schwachstelle als “Important” ein. Die Schwachstelle ist öffentlich bekannt und wird nach Angaben von Microsoft und CISA aktiv ausgenutzt.

Technische Details

Die Sicherheitsanfälligkeit befindet sich in der Microsoft Malware Protection Engine, die von Microsoft Defender und weiteren Microsoft-Sicherheitsprodukten verwendet wird. Ein lokaler Angreifer mit niedrigen Privilegien kann durch eine manipulierte Dateiverknüpfung (symlink) die Engine dazu bringen, auf eine geschützte Ressource zuzugreifen oder eine Datei an einer privilegierten Position zu erstellen oder zu überschreiben. Dies führt zu einer vollständigen Kompromittierung von Vertraulichkeit, Integrität und Verfügbarkeit (CIA) des betroffenen Systems.

CVSS-Vektor: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Metrik	Wert
Attack Vector	Local
Attack Complexity	Low
Privileges Required	Low
User Interaction	None
Scope	Unchanged
Confidentiality	High
Integrity	High
Availability	High

Ausnutzung: Die Schwachstelle wird aktiv ausgenutzt (Exploitation Detected). CISA hat die Verwundbarkeit am 20. Mai 2026 in den Known Exploited Vulnerabilities (KEV) Katalog aufgenommen.

Betroffene Systeme

• Microsoft Malware Protection Engine Version 1.1.0.0 bis 1.1.26030.3008 (alle Versionen vor 1.1.26040.8)

Betroffen sind alle Produkte, die auf dieser Engine basieren:

• Microsoft Defender Antivirus (alle unterstützten Windows-Versionen)
• Microsoft System Center Endpoint Protection
• Microsoft System Center 2012 R2 Endpoint Protection
• Microsoft System Center 2012 Endpoint Protection
• Microsoft Security Essentials
• Windows Defender (alle unterstützten Windows-Versionen)

Hinweis: Auch wenn Microsoft Defender deaktiviert ist, können die verwundbaren Binärdateien auf dem System vorhanden sein. Systeme mit deaktiviertem Defender sind jedoch nach Microsoft-Angaben nicht ausnutzbar.

Empfehlungen und Maßnahmen

1. Automatische Updates prüfen: Die Microsoft Malware Protection Engine wird standardmäßig automatisch aktualisiert. Es sollte überprüft werden, ob die Engine-Version 1.1.26040.8 oder neuer installiert ist.

2. Manuelles Update: Sofern automatische Updates deaktiviert sind, sollte das Sicherheitsupdate manuell über Windows Update oder den Microsoft Update-Katalog eingespielt werden.

3. Überwachung: Organisationen sollten die ordnungsgemäße Verteilung des Engine-Updates in ihrer Umgebung überprüfen.

4. Priorisierung: Aufgrund der aktiven Ausnutzung in freier Wildbahn und der Aufnahme in den CISA KEV-Katalog (Fälligkeit: 3. Juni 2026) sollte diese Schwachstelle mit hoher Priorität behandelt werden.

5. Workaround: Es ist kein Workaround verfügbar. Die Aktualisierung auf die bereinigte Engine-Version ist die einzige Abhilfemaßnahme.

Quellen

• Microsoft Security Update Guide – CVE-2026-41091
• CISA Known Exploited Vulnerabilities Catalog
• CVE-2026-41091 auf CVE.org
• NVD Detail – CVE-2026-41091
• CWE-59: Improper Link Resolution Before File Access (‘Link Following’)
• Microsoft Defender Antivirus – Verwaltung von Updates