Windows Storage Spaces Controller: Lokale Rechteausweitung durch TOCTOU-Race-Condition

Zusammenfassung

Eine Time-of-Check-Time-of-Use (TOCTOU)-Race-Condition im Windows Storage Spaces Controller erlaubt es einem lokal angemeldeten Benutzer, seine Rechte zu erweitern. Ein Angreifer benötigt zuerst ein Konto mit niedrigen Rechten oder eine Codeausführung auf dem Host, und das Race-Condition-Fenster ist nicht zuverlässig nutzbar (hohe Angriffskomplexität). Ein erfolgreicher Angriff kann Vertraulichkeit, Integrität und Verfügbarkeit des betroffenen Systems vollständig beeinträchtigen.

Betroffen

• Windows 10 Version 1607 (10.0.14393.0 bis vor 10.0.14393.9688)
• Windows 10 Version 1809 (10.0.17763.0 bis vor 10.0.17763.9487)
• Windows 10 Version 21H2 (10.0.19044.0 bis vor 10.0.19044.7846)
• Windows 10 Version 22H2 (10.0.19045.0 bis vor 10.0.19045.7846)
• Windows 11 Version 23H2 (10.0.22631.0 bis vor 10.0.22631.7711)
• Windows 11 Version 24H2 (10.0.26100.0 bis vor 10.0.26100.9974)
• Windows 11 Version 25H2 (10.0.26200.0 bis vor 10.0.26200.9974)
• Windows 11 Version 26H1 (10.0.28000.0 bis vor 10.0.28000.3501)
• Windows 11 Version 26H2 (10.0.26300.0 bis vor 10.0.26300.9974)
• Windows Server 2016 inkl. Server Core (10.0.14393.0 bis vor 10.0.14393.9688)
• Windows Server 2019 inkl. Server Core (10.0.17763.0 bis vor 10.0.17763.9487)
• Windows Server 2022 (10.0.20348.0 bis vor 10.0.20348.5870)

Behoben in

Das Sicherheitsupdate vom November 2026 für den betroffenen Windows-Build installieren. Die korrigierten Builds sind jeweils der erste Build, der im CVE-Eintrag nicht als betroffen aufgeführt ist, zum Beispiel 10.0.14393.9688 (Windows 10 1607 / Server 2016), 10.0.17763.9487 (1809 / Server 2019) und 10.0.20348.5870 (Server 2022). Die genauen Builds im MSRC-Advisory prüfen.

Umgehung

Unbekannt.

Ausnutzung

• CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• In den geprüften Quellen wurde weder eine Ausnutzung in freier Wildbahn noch ein öffentlicher Proof of Concept gefunden.
• Vom Hersteller bewertete CVSS-Temporalmetrik: Exploit Code Maturity Unproven.

Unsere Empfehlung

• Das kumulative Sicherheitsupdate vom November 2026 auf allen betroffenen Windows-Hosts installieren, zuerst auf Mehrbenutzersystemen, Dateiservern und Hosts mit Storage Spaces.
• Prüfen, welche Windows-Builds im Einsatz sind, und nicht mehr unterstützte Versionen wie Windows 10 1607 und 1809 wo möglich ersetzen.
• Lokale Anmelderechte einschränken und nicht benötigte Konten auf sensiblen Hosts entfernen.
• Betroffene Systeme auf unerwartete Rechteänderungen und verdächtige lokale Prozesse überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-119851 msrc.microsoft.com
• CVE Record CVE-2026-119851 (CVE.org) www.cve.org
• Strix: CVE-2026-119851 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 08:42.