Windows Storage Spaces Controller: Heap-Pufferüberlauf führt zu Rechteausweitung

Zusammenfassung

Ein Heap-basierter Pufferüberlauf im Windows Storage Spaces Controller erlaubt einem nicht autorisierten Angreifer, seine Privilegien über ein Netzwerk zu erhöhen. Laut den CVE-Daten beträgt der CVSS-Wert 8.8 (Vektor AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H), also sind keine Privilegien, aber eine Benutzerinteraktion erforderlich. Die NVD-Analyse steht noch aus, daher sollten der Vektor und der Netzwerkangriffspfad vor einer Verlassung darauf mit der Microsoft-Advisory verifiziert werden.

Betroffen

• Windows 10 Version 1607 und Windows Server 2016 (inklusive Server Core): Builds vor 10.0.14393.9688
• Windows 10 Version 1809 und Windows Server 2019 (inklusive Server Core): Builds vor 10.0.17763.9487
• Windows 10 Version 21H2: Builds vor 10.0.19044.7846
• Windows 10 Version 22H2: Builds vor 10.0.19045.7846
• Windows 11 Version 23H2: Builds vor 10.0.22631.7711
• Windows 11 Version 24H2: Builds vor 10.0.26100.9974
• Windows 11 Version 25H2: Builds vor 10.0.26200.9974
• Windows 11 Version 26H1: Builds vor 10.0.28000.3501
• Windows 11 Version 26H2: Builds vor 10.0.26300.9974
• Windows Server 2022: Builds vor 10.0.20348.5870

Behoben in

• Windows 10 Version 1607 und Windows Server 2016: 10.0.14393.9688
• Windows 10 Version 1809 und Windows Server 2019: 10.0.17763.9487
• Windows 10 Version 21H2: 10.0.19044.7846
• Windows 10 Version 22H2: 10.0.19045.7846
• Windows 11 Version 23H2: 10.0.22631.7711
• Windows 11 Version 24H2: 10.0.26100.9974
• Windows 11 Version 25H2: 10.0.26200.9974
• Windows 11 Version 26H1: 10.0.28000.3501
• Windows 11 Version 26H2: 10.0.26300.9974
• Windows Server 2022: 10.0.20348.5870

KB-Nummern: Unbekannt.

Umgehung

Unbekannt.

Ausnutzung

Unbekannt. Zum Zeitpunkt der Erstellung wurden keine Hinweise auf aktive Ausnutzung oder einen öffentlichen Proof of Concept gefunden.

Unsere Empfehlung

• Das Microsoft-Sicherheitsupdate für die betroffenen Windows-Builds installieren, sobald die KB-Nummern in der MSRC-Advisory bestätigt sind, und zuvor auf einem Nicht-Produktivsystem testen.
• Dateiserver und Systeme mit Storage Spaces priorisieren.
• Prüfen, ob SMB oder andere Dienste auf diesen Systemen von ausserhalb des internen Netzwerks erreichbar sind, und den Zugriff einschränken.
• Bis zur Installation der Updates auf ungewöhnliche Rechteänderungen und Abstürze auf betroffenen Systemen achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-119392 msrc.microsoft.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 20:28.