Windows Resilient File System (ReFS): Use-after-free ermöglicht lokale Rechteerweiterung

Zusammenfassung

Ein Use-after-free-Fehler im Windows Resilient File System (ReFS) ermöglicht einem berechtigten lokalen Angreifer, seine Rechte zu erweitern. Der Angreifer benötigt einen bestehenden lokalen Zugriff, etwa ein angemeldetes Benutzerkonto oder Schadsoftware, und die Angriffskomplexität wird als hoch eingestuft. Eine erfolgreiche Ausnutzung hätte hohe Auswirkungen auf die Vertraulichkeit, Integrität und Verfügbarkeit des Systems.

Betroffen

• Windows 11 Version 23H2 vor 10.0.22631.7711
• Windows 11 Version 24H2 vor 10.0.26100.9974
• Windows 11 Version 25H2 vor 10.0.26200.9974
• Windows 11 Version 26H1 vor 10.0.28000.3501
• Windows 11 Version 26H2 vor 10.0.26300.9974
• Windows Server 2022 vor 10.0.20348.5870
• Windows Server 2025 (inklusive Server-Core-Installation) vor 10.0.26100.33822
• Windows 10: Unbekannt.

Behoben in

• Sicherheitsupdates, die mit dem Patch-Zyklus vom November 2026 veröffentlicht wurden, mit den oben aufgeführten Builds. Die genauen Builds und KB-Artikelnummern sind vor dem Rollout im Advisory von Microsoft zu prüfen.

Umgehung

Unbekannt. Es wurde keine vom Hersteller dokumentierte Massnahme speziell für diese CVE gefunden. Das Sicherheitsupdate ist einzuspielen.

Ausnutzung

• In freier Wildbahn ausgenutzt: keine Hinweise gefunden. Der CISA-KEV-Katalog wurde nicht direkt geprüft.
• Öffentlicher Proof of Concept: keiner gefunden.
• CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.

Unsere Empfehlung

• Das kumulative Update vom November 2026 auf betroffenen Windows-11- und Windows-Server-Systemen im nächsten Patch-Fenster installieren, zuerst Server mit ReFS.
• Lokale Anmelderechte auf Systemen mit ReFS einschränken.
• Die genannten Builds im Advisory von Microsoft verifizieren und den CISA-KEV-Katalog auf spätere Ausnutzungsmeldungen prüfen.
• Die ReFS-Komponente regelmässig patchen, da 2026 mehrere ReFS-Schwachstellen zur Rechteerweiterung veröffentlicht wurden.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-119386 msrc.microsoft.com
• CVE Record CVE-2026-119386 (Microsoft CNA) www.cve.org
• Strix.ai: CVE-2026-119386 (third party, unverified) www.strix.ai
• Microsoft advisory: CVE-2026-83952 (related ReFS EoP) msrc.microsoft.com
• Microsoft advisory: CVE-2026-50318 (related ReFS EoP) msrc.microsoft.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 08:52.