Windows Projected File System: Informationsoffenlegung durch TOCTOU-Race-Condition

Zusammenfassung

Eine Time-of-Check-Time-of-Use-Race-Condition (TOCTOU) im Windows Projected File System (ProjFS) erlaubt einem berechtigten lokalen Benutzer, Informationen zu lesen, auf die er keinen Zugriff haben sollte. Für die Ausnutzung sind lokaler Zugriff, ein Konto mit niedrigen Rechten und eine hohe Angriffskomplexität erforderlich. Die Auswirkungen beschränken sich auf die Vertraulichkeit; Integrität und Verfügbarkeit sind nicht betroffen. Microsoft stuft die Schwachstelle mit CVSS 4.7 (Mittel) ein.

Betroffen

• Windows 10 Version 1809 und Windows Server 2019 (inklusive Server Core): Builds vor 10.0.17763.9487
• Windows 10 Version 21H2: Builds vor 10.0.19044.7846
• Windows 10 Version 22H2: Builds vor 10.0.19045.7846
• Windows 11 Version 23H2: Builds vor 10.0.22631.7711
• Windows 11 Version 24H2 und Windows 11 Version 25H2: Builds vor 10.0.26100.9974 beziehungsweise 10.0.26200.9974
• Windows 11 Version 26H1: Builds vor 10.0.28000.3501
• Windows 11 Version 26H2: Builds vor 10.0.26300.9974
• Windows Server 2022: Builds vor 10.0.20348.5870
• Windows Server 2025 (inklusive Server Core): Builds vor 10.0.26100.33822

Hinweis: Die Versionsgrenzen von Drittanbieter-Aggregatoren widersprechen dem CVE-Eintrag; auf der MSRC-Seite prüfen.

Behoben in

• Das Microsoft-Sicherheitsupdate installieren, das am Patch Tuesday im November 2026 veröffentlicht wurde, passend zur betroffenen Edition.
• Korrigierte Builds gemäss CVE-Eintrag: siehe oben die betroffenen Builds (der erste Build ab der jeweiligen Grenze ist die Korrektur).

Umgehung

Unbekannt. In den geprüften Quellen ist keine Umgehungslösung oder Massnahme dokumentiert. Die Installation des Updates ist die praktische Behebung.

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn.
• Bei einer begrenzten Recherche wurde kein öffentlicher Proof-of-Concept gefunden.
• CISA SSVC: Ausnutzung keine, nicht automatisierbar, partielle technische Auswirkung.

Unsere Empfehlung

• Dieses Update im regulären Patch-Zyklus vom November 2026 auf allen betroffenen Windows-Clients und -Servern einspielen.
• Mehrbenutzersysteme wie Terminalserver, gemeinsam genutzte Dateiserver und Entwicklerrechner priorisieren.
• Die verwandten ProjFS-Korrekturen CVE-2026-112799 und CVE-2026-108414 im selben Zyklus installieren.
• Vor dem Rollout die exakten korrigierten Builds und KB-Nummern auf der MSRC-Seite prüfen.
• Auf öffentliche Proof-of-Concept-Codes oder Berichte über Ausnutzung achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-113764 msrc.microsoft.com
• CVE Record CVE-2026-113764 (CNA: Microsoft) www.cve.org
• Rapid7: Patch Tuesday November 2026 www.rapid7.com
• Cybersecuritynews: Microsoft November 2026 Patch Tuesday cybersecuritynews.com
• Senserva: KB5131085 (Windows Server 2019 / 1809) senserva.com
• MSRC: CVE-2026-108414 (related ProjFS flaw) msrc.microsoft.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 20:54.