Mit den April-Updates (z. B. KB5055523) legt Windows 11 und auch Windows 10 einen Ordner C:\inetpub an – auch dann, wenn der IIS-Webdienst nicht aktiviert ist. Einige Nutzer haben den Ordner gelöscht, da er leer war und in keinem offiziellen Changelog erwähnt wurde. Nun warnt Microsoft: Wer den Ordner entfernt hat, setzt sein System einer Sicherheitslücke (CVE-2025-21204) aus.
Der Ordner ist Teil eines Sicherheitspatches gegen eine Schwachstelle im Update-Stack, bei der Windows unter Umständen symbolischen Links folgt und so unbefugt auf Dateien zugegriffen werden könnte. Die Existenz des inetpub-Verzeichnisses verhindert dies, auch ohne aktiven IIS. Microsoft hat kürzlich ein PowerShell-Skript veröffentlicht, mit dem sich der Ordner samt richtiger Berechtigungen wiederherstellen lässt – ohne den IIS zu aktivieren:
Set-ExecutionPolicy -Scope Process -ExecutionPolicy Bypass
Install-Script -Name Set-InetpubFolderAcl -Force
Bei Bedarf kann das Skript direkt über den Pfad ausgeführt werden:
& "C:\Program Files\WindowsPowerShell\Scripts\Set-InetpubFolderAcl.ps1"Wer den Ordner C:\inetpub gelöscht hat, sollte ihn mithilfe des offiziellen Skripts wiederherstellen. Andernfalls bleibt das System angreifbar.
Quelle: Microsoft