Windows exFAT File System: Use-after-free ermöglicht lokale Rechteerweiterung

Zusammenfassung

Eine Use-after-free-Schwachstelle (CWE-416) im Windows exFAT File System ermöglicht einem autorisierten lokalen Angreifer, seine Rechte zu erweitern, zum Beispiel von einem Standardbenutzerkonto zu SYSTEM. Der Angreifer benötigt lokalen Zugriff und niedrige Berechtigungen und muss erreichen, dass das System ein präpariertes exFAT-Volume verarbeitet, etwa einen USB-Stick oder eine SD-Karte. Die Schwachstelle ist nicht aus dem Netzwerk erreichbar; der CVSS-3.1-Basiswert beträgt 7.0 (High).

Betroffen

• Windows 10 Version 1809: vor 10.0.17763.9487
• Windows 10 Version 21H2: vor 10.0.19044.7846
• Windows 10 Version 22H2: vor 10.0.19045.7846
• Windows 11 Version 23H2: vor 10.0.22631.7711
• Windows 11 Version 24H2: vor 10.0.26100.9974
• Windows 11 Version 25H2: vor 10.0.26200.9974
• Windows 11 Version 26H1: vor 10.0.28000.3501
• Windows 11 Version 26H2: vor 10.0.26300.9974
• Windows Server 2019 (inklusive Server Core): vor 10.0.17763.9487
• Windows Server 2022: vor 10.0.20348.5870
• Windows Server 2025 (inklusive Server Core): vor 10.0.26100.33822
• Andere Versionen, inklusive Windows Server 2016: Unbekannt; im MSRC-Advisory prüfen

Behoben in

• Microsoft-Sicherheitsupdate vom 10. November 2026; behoben in den oben aufgeführten Builds
• KB-Artikelnummern: Unbekannt
• Nach dem Patchen die installierte Build-Nummer prüfen

Umgehung

• Keine bekannte Workaround-Massnahme des Herstellers.
• Bis zum Patch das Einbinden von exFAT-Medien aus nicht vertrauenswürdigen Quellen vermeiden.

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn.
• Kein öffentlicher Proof of Concept bekannt.
• Microsoft stuft die Reife des Exploit-Codes als Unproven (E:U) ein.
• CISA SSVC: Ausnutzung none, automatisierbar no, technische Auswirkung total.

Unsere Empfehlung

• Das Windows-Sicherheitsupdate vom November 2026 auf allen betroffenen Systemen installieren; Dateiserver und Endgeräte mit gemeinsam genutzten oder nicht verwalteten USB-Medien zuerst behandeln.
• Die installierte Build-Nummer über Windows Update, WSUS oder Intune mit den oben genannten behobenen Versionen vergleichen.
• Im MSRC-Advisory die vollständige Produktliste prüfen, inklusive Windows Server 2016.
• Bis zum Patch das Einbinden von exFAT-Medien aus nicht vertrauenswürdigen Quellen einschränken.
• Meldungen zu Ausnutzung beobachten und die offenen Punkte innert weniger Tage erneut prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Response Center advisory CVE-2026-112766 msrc.microsoft.com
• CVE Record CVE-2026-112766 (cve.org) www.cve.org
• Third-party mirror with fixed builds (strix.ai) www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 09:15.