Microsoft Windows NTFS: Rechteerweiterung durch Out-of-Bounds-Read

Zusammenfassung

Ein Out-of-Bounds-Read-Fehler (CWE-125) im Dateisystem Windows NTFS erlaubt einem berechtigten lokalen Benutzer, seine Privilegien zu erweitern. Ein Angreifer benötigt ein bestehendes Konto mit niedrigen Rechten und muss zusätzlich eine Benutzerinteraktion auslösen; es handelt sich somit um einen Folgeschritt nach einem initialen Zugriff und nicht um einen Einstiegspunkt. Eine erfolgreiche Ausnutzung könnte Vertraulichkeit, Integrität und Verfügbarkeit beeinträchtigen (CVSS 3.1: 7.3 HIGH).

Betroffen

• Windows 10 Version 1607 (10.0.14393.0 bis vor 10.0.14393.9688)
• Windows 10 Version 1809 (10.0.17763.0 bis vor 10.0.17763.9487)
• Windows 10 Version 21H2 (10.0.19044.0 bis vor 10.0.19044.7846)
• Windows 10 Version 22H2 (10.0.19045.0 bis vor 10.0.19045.7846)
• Windows 11 Version 23H2 (10.0.22631.0 bis vor 10.0.22631.7711)
• Windows 11 Version 24H2 (10.0.26100.0 bis vor 10.0.26100.9974)
• Windows 11 Version 25H2 (10.0.26200.0 bis vor 10.0.26200.9974)
• Windows 11 Version 26H1 (10.0.28000.0 bis vor 10.0.28000.3501)
• Windows 11 Version 26H2 (10.0.26300.0 bis vor 10.0.26300.9974)
• Windows Server 2016 und Server Core (10.0.14393.0 bis vor 10.0.14393.9688)
• Windows Server 2019 und Server Core (10.0.17763.0 bis vor 10.0.17763.9487)
• Windows Server 2022 (10.0.20348.0 bis vor 10.0.20348.5870)

Behoben in

• Korrigierte Builds gemäss oberer Grenze im CVE-Eintrag: 10.0.14393.9688 (Server 2016 / 1607), 10.0.17763.9487 (Server 2019 / 1809), 10.0.19044.7846 (21H2), 10.0.19045.7846 (22H2), 10.0.22631.7711 (23H2), 10.0.26100.9974 (24H2), 10.0.26200.9974 (25H2), 10.0.28000.3501 (26H1), 10.0.26300.9974 (26H2), 10.0.20348.5870 (Server 2022)
• Kumulatives Update / KB-Nummer: Unbekannt.
• Die genauen korrigierten Builds vor der Verteilung im MSRC-Advisory prüfen.

Umgehung

Unbekannt.

• Es wurde keine Massnahme von Microsoft zur Entschärfung dieser CVE identifiziert; das Patch ist die Behebung.

Ausnutzung

• Ausnutzung in freier Wildbahn: zum Zeitpunkt der Recherche keine Hinweise gefunden.
• Öffentlicher Proof of Concept: keiner gefunden.
• CISA-SSVC-Bewertung: Ausnutzung none, Automatisierbar nein, Technische Auswirkung total.

Unsere Empfehlung

• Das Update im nächsten regulären Windows-Patchzyklus einplanen.
• Auf Mehrbenutzersystemen wie Terminal-/RDS-Servern, Dateiservern und gemeinsam genutzten Arbeitsstationen früher verteilen.
• Lokale Anmeldung auf Servern und gemeinsam genutzten Geräten auf vertrauenswürdige Mitarbeitende beschränken.
• Auf unerwartete Prozesse mit SYSTEM-Rechten oder neue lokale Konten achten.
• MSRC und CISA KEV erneut prüfen, falls das Advisory geändert wird oder Ausnutzung gemeldet wird.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Response Center: CVE-2026-119900 msrc.microsoft.com
• CVE Record CVE-2026-119900 www.cve.org
• Strix AI: CVE-2026-119900 (secondary, unverified fixed builds) www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 06:27.