Windows Cloud Files Mini Filter Driver: Lokale Rechteerweiterung

Zusammenfassung

Der Windows Cloud Files Mini Filter Driver (cldflt.sys) enthält einen Out-of-Bounds-Read (CWE-125). Ein lokal angemeldeter Benutzer mit niedrigen Rechten kann diese Schwachstelle ausnutzen, um SYSTEM-Rechte zu erlangen. Der Angriff setzt lokalen Zugriff und eine gültige Benutzersitzung voraus; die Schwachstelle ist nicht direkt aus dem Internet erreichbar.

Betroffen

• Windows 10 Version 1809: 10.0.17763.0 bis vor 10.0.17763.9487
• Windows 10 Version 21H2: 10.0.19044.0 bis vor 10.0.19044.7846
• Windows 10 Version 22H2: 10.0.19045.0 bis vor 10.0.19045.7846
• Windows 11 Version 23H2: 10.0.22631.0 bis vor 10.0.22631.7711
• Windows 11 Version 24H2: 10.0.26100.0 bis vor 10.0.26100.9974
• Windows 11 Version 25H2: 10.0.26200.0 bis vor 10.0.26200.9974
• Windows 11 Version 26H1: 10.0.28000.0 bis vor 10.0.28000.3501
• Windows 11 Version 26H2: 10.0.26300.0 bis vor 10.0.26300.9974
• Windows Server 2019 (inklusive Server Core): 10.0.17763.0 bis vor 10.0.17763.9487
• Windows Server 2022: 10.0.20348.0 bis vor 10.0.20348.5870
• Windows Server 2025 (inklusive Server Core): 10.0.26100.0 bis vor 10.0.26100.33822

Behoben in

• Die Sicherheitsupdates vom November 2026 von Microsoft installieren (oben aufgeführte Builds sind die ersten nicht betroffenen Versionen).
• Die genauen Build-Nummern für Ihre Version im MSRC Security Update Guide vor der Verteilung prüfen, da der NVD-Eintrag noch in Analyse ist.

Umgehung

• Kein Workaround von Microsoft für diese CVE. Das Patchen ist die Behebung.
• Drittquellen empfehlen, den Cloud Filter Treiber (Dienst cldflt) zu deaktivieren, sofern OneDrive Files On-Demand und andere Synchronisationsfunktionen nicht benötigt werden. Dies stammt nicht aus der Microsoft-Warnmeldung, unterbricht Synchronisationsfunktionen und muss vorgängig getestet werden.

Ausnutzung

• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Für diese CVE ist kein öffentlicher Exploit-Code und kein PoC bekannt.
• Rapid7 meldet, dass Microsoft von einer Ausnutzung in freier Wildbahn bei einer der Schwachstellen vom November 2026 weiss, diese aber nicht nennt. Ob es sich um diese CVE handelt, ist unbekannt.
• Eine andere Schwachstelle in cldflt.sys (CVE-2025-62221) wird nachweislich in freier Wildbahn ausgenutzt; es handelt sich um ein separates Problem.

Unsere Empfehlung

• Die Sicherheitsupdates vom November 2026 auf allen betroffenen Arbeitsstationen und Servern installieren, mit Priorität auf Mehrbenutzersystemen, Remote Desktop- und Terminalservern sowie Geräten mit OneDrive-Synchronisationsclients.
• Die installierten Build-Nummern nach dem Patchen überprüfen.
• Änderungen beim Ausnutzungsstatus und das Auftauchen von öffentlichem Exploit-Code beobachten.
• Lokale Anmeldungen nach Möglichkeit auf vertrauenswürdige Benutzer beschränken.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-105569 msrc.microsoft.com
• CVE.org Record: CVE-2026-105569 www.cve.org
• Rapid7: Patch Tuesday November 2026 www.rapid7.com
• Senserva KB 5132059 senserva.com
• Lilting: MiniPlasma Windows cldflt zero-day lilting.ch

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 04:32.