Windows 11 Get Help: Microsoft schließt Lücke mit SYSTEM-Zugriff

Microsoft hat Aktualisierungen bereitgestellt, die eine Sicherheitslücke in der Windows-11-Anwendung Get Help beheben. Über die Schwachstelle war es Standardnutzern möglich, über den Dienst DiagSvc mit weitreichenden SYSTEM-Rechten die vollständige Kontrolle über ein betroffenes System zu erlangen. Wie itnews.com.au am 2. November 2026 berichtete, sind bislang keine Ausnutzungen der Schwachstelle im Feld bekannt.

Schwachstelle über Dienst DiagSvc gemeldet

Entdeckt und gemeldet wurde das Problem von Ben Wilson von Tanto Security, der sich am 13. Mai an das Microsoft Security Response Center wandte. Der Softwarekonzern bestätigte die Sicherheitslücke am 29. Juni. Einen Tag später, am 30. Juni, zahlte Microsoft im Rahmen seines Prämienprogramms eine Belohnung in Höhe von 8000 US-Dollar für den Hinweis aus.

Ausgenutzt werden konnten im Zusammenspiel mit dem Dienst DiagSvc zwei Race Conditions im Media Creation Tool. Dabei ging es um eine Ordner-Löschung beziehungsweise eine Log-Pause vor einer Neuanlage, woraufhin die heruntergeladene ausführbare Datei ausgetauscht werden konnte. Auf diesem Weg gelang es Angreifern, administrative Berechtigungen auf dem Betriebssystem zu erlangen.

Wer sich mit den Sicherheitsrisiken von Windows 11 befasst, sollte auch die häufigsten Bedienfehler kennen, die das System instabil machen. Dieser kostenlose Report zeigt Ihnen, wie Sie Update-Fehler und andere typische Probleme in wenigen Minuten selbst beheben. Windows 11 Fehler-Leitfaden jetzt kostenlos herunterladen

Stille Korrektur ohne CVE-Kennung erschwert Audits

Die Verteilung der Fehlerbehebung erfolgte etwa am 1. September. Auffällig an der Bereitstellung ist das Vorgehen des Herstellers: Microsoft verzichtete auf die Zuweisung einer CVE-Identifikationsnummer und veröffentlichte keinen begleitenden Sicherheitshinweis. Die eigentliche Korrektur fällt dabei minimal aus und besteht aus lediglich einer einzigen Zeile innerhalb des betreffenden PowerShell-Skripts.

Das Fehlen einer offiziellen Kennung bringt für IT-Sicherheitsverantwortliche praktische Nachteile mit sich. Laut einem Bericht von tech-insider.org vom 2. November 2026 existiert mangels CVE-Eintrags kein standardisierter Nachweis über Schwachstellenscanner oder automatisierte Audit-Werkzeuge.

Der Schutz vor unbefugten Zugriffen auf das Betriebssystem ist für die Sicherheit privater Daten unerlässlich. In diesem kostenlosen Experten-Report erfahren Sie, wie Sie Ihren Rechner mit einfachen Schritten zur Festung gegen Ausspäh-Programme und Hacker machen. Kostenloses Anti-Virus-Paket hier sichern

Administratoren können die Absicherung eines Systems demnach lediglich darüber überprüfen, ob kumulative Updates installiert wurden, die nach dem Auslieferungsdatum der Fehlerbehebung erschienen sind.

Neben der Lücke in Get Help reichte der Sicherheitsforscher weitere Befunde beim Konzern ein. Für ein Diagnosepaket in Microsoft Outlook zahlte das Unternehmen ebenfalls ein Bug-Bounty in Höhe von 8000 US-Dollar. Ein gemeldeter Fehler im Kalender blieb hingegen unvergütet und befindet sich im Prozess der Offenlegung.