0patch liefert Micropatch:
Fix für Windows Server ohne ESU ist da

In Windows Server steckt mit CVE-2026-20931 eine gefährliche Lücke im Telephony-Dienst: Der Januar-Patch von Microsoft sorgt aber teils für TAPI-Ausfälle. Nun sorgt 0patch für einen Micropatch und das auch für ältere Server ohne ESU.

Gefahr im Telephony-Dienst

Bereits im Januar hatte Microsoft eine kritische Schwachstelle mit der Kennung CVE-2026-20931 im Windows Telephony Service geschlossen. Die Lücke ermöglicht es lokalen Angreifern, ihre Rechte unbemerkt auszuweiten, indem sie Systemdateien manipulieren und Schadcode mit höheren Privilegien ausführen. Ursache ist eine fehlende Sicherheitsprüfung in der Dienstarchitektur.

Der offizielle Patch führte jedoch zu Problemen in bestehenden Umgebungen. Nach der Installation berichteten Administratoren von abgebrochenen TAPI-Verbindungen, über die Computer mit klassischen Telefonanlagen kommunizieren. Seit dem Januar-Update gelingt es Clients häufig nicht mehr, eine Verbindung zum Telefonieserver auf dem Domain Controller aufzubauen.

Inoffizieller Fix für alte Server

Für Betreiber älterer Systeme steht nun eine alternative Absicherung bereit. Wie 0patch mitteilt, schließt ein Micropatch die Lücke durch eine zusätzliche Prüfung des Zielpfads. Dabei wird kontrolliert, ob es sich um einen legitimen Mailslot und nicht um einen Pfad im Dateisystem handelt. So wird das Überschreiben der Konfigurationsdatei tsec.ini verhindert.

Sehen wir uns unseren Patch in Aktion an. Zunächst führt ein Benutzer mit geringen Berechtigungen bei deaktiviertem 0patch das Angriffstool aus, das den Telephony-Dienst anweist, die Datei "tsec.ini" mit einem beliebigen Inhalt zu überschreiben (wir haben zu Demonstrationszwecken "test" verwendet). Der Angriff ist erfolgreich. Bei aktiviertem 0patch kann die Datei jedoch nicht mehr überschrieben werden.

Der inoffizielle Fix richtet sich an Umgebungen ohne kostenpflichtige ESU-Lizenzen (Extended Security Updates) für erweiterte Sicherheitsupdates. Abgesichert werden Windows Server 2008 R2, Windows Server 2012 und Windows Server 2012 R2. Betreiber erhalten damit zusätzlichen Schutz, obwohl der reguläre Support für diese Versionen ausgelaufen ist.

Der betroffene Telephony-Dienst ist zwar auch in aktuellen Client-Systemen wie Windows 10 und Windows 11 vorhanden, nach aktuellen Analysen besteht dort aber keine akute Gefahr. In internen Tests ließ sich die Schwachstelle auf diesen Plattformen nicht erfolgreich ausnutzen, da die Speicherverwaltung in neueren Windows-Versionen entsprechende Angriffe abfängt.

Ein Vorteil der Micropatch-Technik ist die Anwendung im laufenden Betrieb, ohne Neustart der Server. Voraussetzung sind jedoch ein installierter Agent des Anbieters und ein aktives Benutzerkonto, was eine zusätzliche Abhängigkeit von einem externen Dienst bedeutet. Für Unternehmen, die noch auf alte Windows-Server setzen, kann der Ansatz dennoch Zeit gewinnen, bis die Migration auf aktuelle Betriebssysteme abgeschlossen ist.

Setzt ihr in eurer Infrastruktur noch auf ältere Windows-Server oder habt ihr bereits alles migriert? Teilt eure Erfahrungen mit inoffiziellen Patches gerne unten in den Kommentaren mit uns!


Siehe auch: