Windows 11 26H1: Rechteerweiterung im Treiber unionfs.sys
Zusammenfassung
Ein Off-by-one-Fehler im Windows Container Isolation FS Filter Driver (unionfs.sys) ermöglicht einem berechtigten lokalen Angreifer eine Rechteerweiterung. Laut CVE-Eintrag sind Windows 11 Version 26H1 mit Builds ab 10.0.28000.0 vor 10.0.28000.3501 betroffen. Der Angreifer benötigt ein bestehendes Konto mit niedrigen Rechten auf dem Host und keine Benutzerinteraktion; die Auswirkung beschränkt sich auf die Integrität (CVSS 5.5). Das Risiko ist auf Mehrbenutzersystemen und Systemen mit Windows-Containern am höchsten.
Betroffen
- Microsoft Windows 11 Version 26H1 (ARM64 und x64), Builds 10.0.28000.0 vor 10.0.28000.3501
- Andere Windows-Branches: Unbekannt. Der CVE-Eintrag nennt nur 26H1; im MSRC Security Update Guide prüfen.
Behoben in
- Build 10.0.28000.3501 oder neuer, enthalten in KB5132059 (Update vom November 2026 für 26H1)
Umgehung
- Keine Workaround-Massnahme dokumentiert.
- Unbekannt: ob eine temporäre Massnahme existiert.
Ausnutzung
- Microsoft stuft die Exploit-Reife als unbewiesen ein (E:U).
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- Kein öffentlicher Proof of Concept und keine Berichte über Ausnutzung gefunden; veröffentlicht am 10. November 2026.
- Laut einem Drittanbieter-Aggregator nicht im CISA KEV; kein Eintrag bei CISA gefunden.
Unsere Empfehlung
- Betroffene Branches im MSRC Security Update Guide bestätigen, bevor andere Windows-Versionen als nicht betroffen gelten.
- Das kumulative Update vom November 2026 (KB5132059 für 26H1) auf betroffenen Hosts installieren, zuerst Mehrbenutzersysteme und Container-Hosts.
- Bis zur Behebung die lokale Anmeldung einschränken und die Nutzung von Container-Hosts auf vertrauenswürdige Konten beschränken.
- Auf neue Berichte zur Ausnutzung achten, da diese CVE sehr neu ist.
Angaben von Microsoft (Patch Tuesday November 2026)
- Schweregrad (Microsoft)
- Hoch
- Auswirkung
- Rechteausweitung – Windows Container Isolation FS Filter Driver (unionfs.sys)
- Stand am Patch Tuesday
- Weder ausgenutzt noch öffentlich bekannt
- Einschätzung der Ausnutzbarkeit
- Ausnutzung weniger wahrscheinlich
- Produktfamilie
- Windows
- Updates (KB)
- KB5132059
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- MSRC Security Update Guide: CVE-2026-113771 msrc.microsoft.com
- CVE Record CVE-2026-113771 www.cve.org
- KB5132059: Windows 11 26H1 security update support.microsoft.com
- SANS ISC: Microsoft Patch Tuesday August 2026 isc.sans.edu
- Sibling unionfs.sys CVE CVE-2026-97810 (affected branches) vulners.com
- Third-party build tracker: Windows 11 build 28000.3501 windowsforum.com
- Strix: CVE-2026-113771 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 16:47.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.