Windows Server (Server for NFS): Schwachstelle zur Informationsoffenlegung

Zusammenfassung

Eine unzureichende Zugriffskontrolle in der Komponente Server for NFS von Windows Server erlaubt einem berechtigten lokalen Benutzer, Informationen einzusehen, die er nicht sehen sollte. Nur die Vertraulichkeit ist betroffen, und der Angreifer benötigt lokalen Zugriff sowie ein Konto mit niedrigen Rechten. Das Risiko ist vor allem für NFS-Dateiserver relevant, die sensible Daten bereitstellen.

Betroffen

• Windows Server 2016 und Server-Core-Installation: 10.0.14393.0 bis vor 10.0.14393.9688
• Windows Server 2019 und Server-Core-Installation: 10.0.17763.0 bis vor 10.0.17763.9487
• Windows Server 2022: 10.0.20348.0 bis vor 10.0.20348.5870
• Windows Server 2025 und Server-Core-Installation: 10.0.26100.0 bis vor 10.0.26100.33822 (im CVE-Eintrag-Auszug und einem Spiegel aufgeführt; bei MSRC überprüfen)

Behoben in

• Windows Server 2016 und Server Core: Build 10.0.14393.9688 oder neuer
• Windows Server 2019 und Server Core: Build 10.0.17763.9487 oder neuer
• Windows Server 2022: Build 10.0.20348.5870 oder neuer
• Windows Server 2025 und Server Core: Build 10.0.26100.33822 oder neuer
• Patch: Sicherheitsupdate vom November 2026. Für Windows Server 2019 nennt eine Drittquelle KB5131085; weitere KB-Nummern sind unbekannt.

Umgehung

Unbekannt. Es wurde kein vom Hersteller dokumentierter Workaround gefunden.

• Provisorische Massnahme, falls das Patchen verzögert wird (eigene Empfehlung, nicht vom Hersteller): Hosts, die NFS-Freigaben erreichen dürfen, einschränken und Freigabeberechtigungen prüfen.

Ausnutzung

• Nicht bekannt, dass die Schwachstelle aktiv ausgenutzt wird.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung teilweise.
• Rapid7 stuft die Ausnutzung als Less Likely ein und führt die Schwachstelle als nicht öffentlich bekannt.
• Kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Das Sicherheitsupdate vom November 2026 auf allen oben genannten Windows-Server-Systemen installieren, zuerst auf NFS-Dateiservern.
• Prüfen, ob die Serverrolle Server for NFS installiert ist (Get-WindowsFeature oder Server-Manager).
• Bis zum Patch den NFS-Zugriff auf benötigte Hosts beschränken und Freigabeberechtigungen prüfen.
• Konten mit lokaler Anmeldeberechtigung auf betroffenen Servern überprüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide (CVE-2026-118140) msrc.microsoft.com
• CVE.org record CVE-2026-118140 www.cve.org
• Strix mirror CVE-2026-118140 www.strix.ai
• Senserva KB5131085 senserva.com
• Rapid7 November 2026 Patch Tuesday www.rapid7.com
• BleepingComputer November 2026 Patch Tuesday www.bleepingcomputer.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 16:45.