Neue Windows-Schwachstelle ohne Klicks ermöglicht Umgehung von Defender SmartScreen

Sicherheitslage und Risiko

Mit seinem PatchDiff-AI-Analysewerkzeug bestätigte Akamai, dass der Fix den RCE-Vektor erfolgreich blockierte – nicht signierte oder entfernte CPLs wurden nicht mehr stillschweigend ausgeführt. Akamai-Forscher bemerkten jedoch etwas Entscheidendes: Die betroffene Maschine authentifizierte nach Anwendung des Patches immer noch beim Server des Angreifers.

Die ührte Vertrauensprüfung erfolgt während des ShellExecuteExW-Aufrufs am allerletzten Punkt der CPL-Startkette. Aber ein viel früherer Auslöser existiert in CControlPanelFolder::GetUIObjectOf – der Funktion, die Windows Explorer aufruft, um ein Icon für den CPL IDList-Eintrag zu extrahieren, wenn er den Inhalt eines Ordners rendert.

Tief in dieser Kette verursacht ein Aufruf, dass Windows den UNC-Pfad auflöst und eine SMB-Verbindung zu den Servern des Angreifers initiiert, sobald ein Ordner, der die bösartige LNK-Datei enthält, geöffnet wird – ohne dass ein Benutzerklick erforderlich ist. Wenn der UNC-Pfad aufgelöst wird (z.

Technischer Hintergrund

B. \\attacker.com\ \payload.cpl ), löst Windows automatisch einen NTLM-Authentifizierungs-Handshake aus und überträgt den Net-NTLMv2-Hash des Opfers an den Server des Angreifers.

Diese Anmeldeinformation kann anschließend für NTLM-Relay-Angriffe oder Offline-Passwortknacken verwendet werden, alles ohne jegliche Benutzerinteraktion über die Navigation zu dem kompromittierten Ordner hinaus.

Dieser verbleibende Fehler wurde als CVE-2026-32202 (CVSS: 4.3) klassifiziert und offiziell als „Ausfall des Schutzmechanismus in Windows Shell“ beschrieben, der es einem unbefugten Angreifer ermöglicht, über ein Netzwerk Spoofing durchzuführen.

Sicherheitslage und Risiko

Organisationen sollten die Updates April 2026 umgehend anwenden, um CVE-2026-32202 zu beheben. Sicherheitsteams sollten außerdem auf ausgehenden SMB-Verkehr zu externen Hosts überwachen und Einschränkungen für NTLMv2 durchsetzen oder, wo möglich, auf Kerberos-only-Authentifizierung umstellen.

Da Microsoft diese Schwachstelle als aktiv ausgenutzt in der Wildnis eingestuft hat, sollten Verteidiger ungepatchte Systeme als Hochrisiko-Exposition behandeln, insbesondere in Umgebungen, in denen LNK-Dateien über freigegebene Ordner oder Netzlaufwerke durchlaufen.

Dieser Vorfall dient als scharfe Erinnerung daran, dass unvollständige Patches sekundäre Angriffsflächen einführen können.

Sicherheitslage und Risiko

Die Lücke zwischen der Pfadauflösung und der Vertrauensprüfung in der Windows Shell Pipeline, die zuerst von APT28 und später, unterstreicht die Notwendigkeit gründlichen Patch-Diffings und Regressionstests nach dem Fix, bevor eine Schwachstelle als vollständig behoben eingestuft wird.

Der Beitrag New Windows 0-Click Vulnerability Exploited to Bypass Defender SmartScreen erschien zuerst bei