Microsoft Windows: Heap-basierter Pufferüberlauf in ReFS ermöglicht lokale Codeausführung

Zusammenfassung

Ein Heap-basierter Pufferüberlauf im Windows Resilient File System (ReFS) erlaubt einem berechtigten lokalen Angreifer, Code auszuführen. Der Angreifer benötigt zuerst ein gültiges Konto mit niedrigen Berechtigungen oder einen Zugriffspunkt auf dem System, und es ist keine Benutzerinteraktion nötig. Der CNA stuft die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit als hoch ein. Der MSRC-Titel spricht von 'Remote Code Execution', die Beschreibung und der CVSS-Vektor beschreiben jedoch einen lokalen Angriff, und dieser Eintrag folgt der Beschreibung.

Betroffen

• Windows 10 Version 1607 und Windows Server 2016 (inklusive Server Core): vor 10.0.14393.9612
• Windows 10 Version 1809 und Windows Server 2019 (inklusive Server Core): vor 10.0.17763.9376
• Windows 10 Version 21H2: vor 10.0.19044.7807
• Windows 10 Version 22H2: vor 10.0.19045.7807
• Windows 11 Version 23H2: vor 10.0.22631.7652
• Windows 11 Version 24H2 und 25H2: vor 10.0.26100.9711 beziehungsweise 10.0.26200.9711
• Windows 11 Version 26H1: vor 10.0.28000.3231
• Windows 11 Version 26H2: vor 10.0.26300.9711
• Windows Server 2022: vor 10.0.20348.5761

Behoben in

• Kumulative Updates vom Oktober 2026 (gemäss Tenable-Plugin-Seiten): KB5126868 für Windows 10 1607 und Server 2016, KB5126657 für Windows 10 21H2 und 22H2, KB5127648 für Windows 11 24H2 und 25H2, KB5126646 für Windows Server 2025
• Die Build-Nummern vor der Verteilung auf der MSRC-Seite überprüfen.

Umgehung

Unbekannt. Es wurde keine vom Hersteller dokumentierte Zwischenmassnahme gefunden. Den Patch installieren.

Ausnutzung

• In der Recherche wurden keine Hinweise auf aktive Ausnutzung gefunden. CISA SSVC: Ausnutzung keine, nicht automatisierbar.
• Kein öffentlicher Proof-of-Concept gefunden.
• EPSS 0.00318 (niedrig).
• Der Status im CISA-KEV-Katalog wurde nicht geprüft.

Unsere Empfehlung

• Hosts mit den betroffenen Builds identifizieren und Mehrbenutzersysteme, Dateiserver, RDS-/Terminalserver sowie ältere 1607/2016-Hosts priorisieren.
• Das kumulative Update vom Oktober 2026 installieren.
• Lokale Anmeldungen auf die nötigen Konten beschränken und auf Rechteerweiterung überwachen.
• Prüfen, ob ReFS überhaupt verwendet wird.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide: CVE-2026-102227 msrc.microsoft.com
• Vulners: NVD record CVE-2026-102227 vulners.com
• Vulners: CVE List record CVE-2026-102227 vulners.com
• Tenable Nessus plugin 365467 (Oct 2026 update for Windows 10 21H2/22H2) www.tenable.com
• Strix: CVE-2026-102227 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 05:08.