Microsoft Windows EFS: Lokale Denial of Service durch untrusted Pointer-Dereferenzierung

Zusammenfassung

Eine untrusted Pointer-Dereferenzierung (CWE-822) im Windows Encrypting File System (EFS) betrifft unterstützte Windows-10-, Windows-11- und Windows-Server-2016- bis 2022-Systeme. Ein berechtigter lokaler Angreifer mit niedrigen Rechten und ohne Benutzerinteraktion kann einen Denial of Service auslösen und die Verfügbarkeit des Systems beeinträchtigen. Gemäss den geprüften Quellen ist keine Fernausnutzung möglich, und es sind weder eine Ausnutzung noch ein öffentlicher Proof of Concept bekannt.

Betroffen

• Windows 10 Version 1607 und Windows Server 2016 (inklusive Server Core): 10.0.14393.0 bis vor 10.0.14393.9688
• Windows 10 Version 1809 und Windows Server 2019 (inklusive Server Core): 10.0.17763.0 bis vor 10.0.17763.9487
• Windows 10 Version 21H2: 10.0.19044.0 bis vor 10.0.19044.7846
• Windows 10 Version 22H2: 10.0.19045.0 bis vor 10.0.19045.7846
• Windows 11 Version 23H2: 10.0.22631.0 bis vor 10.0.22631.7711
• Windows 11 Version 24H2: 10.0.26100.0 bis vor 10.0.26100.9974
• Windows 11 Version 25H2: 10.0.26200.0 bis vor 10.0.26200.9974
• Windows 11 Version 26H1: 10.0.28000.0 bis vor 10.0.28000.3501
• Windows 11 Version 26H2: 10.0.26300.0 bis vor 10.0.26300.9974
• Windows Server 2022: 10.0.20348.0 bis vor 10.0.20348.5870

Behoben in

• Die Sicherheitsupdates für Windows vom November 2026 für die betroffenen Versionen installieren.
• Behobene Builds gemäss CVE-Eintrag: 10.0.14393.9688 (1607, Server 2016), 10.0.17763.9487 (1809, Server 2019), 10.0.19044.7846 (21H2), 10.0.19045.7846 (22H2), 10.0.22631.7711 (23H2), 10.0.26100.9974 (24H2), 10.0.26200.9974 (25H2), 10.0.28000.3501 (26H1), 10.0.26300.9974 (26H2), 10.0.20348.5870 (Server 2022).
• Die Builds für Windows 11 24H2 und Server 2025 anhand der MSRC-Tabelle prüfen, da eine Drittquelle 10.0.26100.33822 angibt.

Umgehung

Unbekannt. Es wurde keine Workaround- oder Zwischenmassnahme von Microsoft gefunden; das Update ist die einzige bekannte Abhilfe.

Ausnutzung

• Gemäss den geprüften Quellen ist keine Ausnutzung in freier Wildbahn bekannt.
• Kein öffentlicher Proof of Concept gefunden.
• CISA SSVC: Ausnutzung keine, nicht automatisierbar, partielle technische Auswirkung.
• Der Status im CISA-KEV-Katalog ist nicht überprüft.

Unsere Empfehlung

• Das kumulative Windows-Update vom November 2026 im regulären Patch-Zyklus einplanen, mit Priorität auf Mehrbenutzersysteme wie Terminalserver, RDS-Hosts und Dateiserver, die EFS-verschlüsselte Daten speichern.
• Nach dem Patchen die installierten Build-Nummern mit der obenstehenden Tabelle vergleichen.
• Die lokale Anmeldung auf gemeinsam genutzten Servern auf die notwendigen Konten beschränken.
• Gemäss aktuellen Informationen sind keine Notfallmassnahmen erforderlich.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Response Center: CVE-2026-105527 msrc.microsoft.com
• CVE Record CVE-2026-105527 www.cve.org
• Senserva: KB5131080 summary senserva.com
• Rapid7: Patch Tuesday November 2026 www.rapid7.com
• Strix AI: CVE-2026-105527 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 17:02.