Windows srvnet.sys (SMB-Server): Remote Code Execution durch Race Condition

Zusammenfassung

Eine Race Condition (CWE-362) im SMB-Server-Netzwerktransporttreiber srvnet.sys von Windows erlaubt einem berechtigten Angreifer, über das Netzwerk Code auszuführen. Für die Ausnutzung muss der Angreifer ein Wettrennen gewinnen, was die hohe Angriffskomplexität in der CVSS-Bewertung widerspiegelt. Bei erfolgreicher Ausnutzung könnte der Angreifer die volle Kontrolle über das betroffene System erlangen, einschliesslich Domain Controller und Dateiservern, die SMB auf TCP/445 anbieten.

Betroffen

• Windows 10 Version 1809 (vor 10.0.17763.9487)
• Windows 10 Version 21H2 (vor 10.0.19044.7846)
• Windows 10 Version 22H2 (vor 10.0.19045.7846)
• Windows 11 Version 23H2 (vor 10.0.22631.7711)
• Windows 11 Version 24H2 (vor 10.0.26100.9974)
• Windows 11 Version 25H2 (vor 10.0.26200.9974)
• Windows 11 Version 26H1 (vor 10.0.28000.3501)
• Windows 11 Version 26H2 (vor 10.0.26300.9974)
• Windows Server 2019, inklusive Server Core (vor 10.0.17763.9487)
• Windows Server 2022 (vor 10.0.20348.5870)
• Windows Server 2025, inklusive Server Core (vor 10.0.26100.33822)
• Die Build-Nummern stammen aus dem CVE-Eintrag und müssen mit der MSRC-Tabelle abgeglichen werden.

Behoben in

• Sicherheitsupdates, veröffentlicht am Patch Tuesday vom 10. November 2026 (Fixed-Builds wie oben aufgeführt)
• KB-Nummern je Build: Unbekannt.

Umgehung

• Unbekannt. Im geprüften Quellenmaterial wurde kein Workaround von Microsoft gefunden.
• Allgemeine Übergangsmassnahme (nicht von Microsoft): TCP/445 nur für benötigte interne Hosts freigeben und SMB aus dem Internet blockieren.

Ausnutzung

• Gemäss dem geprüften Quellenmaterial wurde keine Ausnutzung beobachtet.
• Kein öffentlicher Proof of Concept gefunden.
• CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
• Microsoft bewertet die Exploit-Reife als unbewiesen (E:U).

Unsere Empfehlung

• Alle Windows-10-, Windows-11- und Windows-Server-Systeme mit betroffenen Builds identifizieren, Domain Controller und Dateiserver zuerst.
• Die Sicherheitsupdates vom November 2026 installieren, nachdem die KB-Nummer je Build in der MSRC-Tabelle bestätigt wurde.
• Prüfen, dass SMB (TCP/445) nur von internen Hosts erreichbar ist, die es benötigen, und SMB dort deaktivieren, wo es nicht erforderlich ist.
• Auf einen öffentlichen Proof of Concept oder einen Eintrag im CISA-KEV-Katalog achten und den NVD-Eintrag erneut prüfen, sobald die Analyse abgeschlossen ist.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide: CVE-2026-113825 msrc.microsoft.com
• CVE.org record CVE-2026-113825 www.cve.org
• Strix: affected builds CVE-2026-113825 www.strix.ai
• CrowdStrike: Patch Tuesday analysis November 2026 www.crowdstrike.com
• Splashtop: Patch Tuesday November 2026 www.splashtop.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 05:54.