Microsoft Windows Storage Spaces Controller: Remote Code Execution (unbestätigt)

Zusammenfassung

CVE-2026-119908 ist laut CVE-Eintrag ein Integer-Underflow (CWE-191) im Windows Storage Spaces Controller. Der CNA beschreibt, dass ein nicht authentifizierter Angreifer über das Netzwerk Code ausführen kann; der CVSS-3.1-Wert beträgt 8.8. Die Recherche konnte diese Angaben nicht verifizieren, und der Vektor im CVE-Eintrag verlangt eine Benutzerinteraktion (UI:R), weshalb die Angriffsbedingungen noch nicht bestätigt sind. Zum Zeitpunkt der Erstellung lagen das MSRC-Advisory und die NVD-Analyse nicht vor.

Betroffen

• Windows 11 Version 23H2: 10.0.22631.0 bis vor 10.0.22631.7711
• Windows 11 Version 24H2: 10.0.26100.0 bis vor 10.0.26100.9974
• Windows 11 Version 25H2: 10.0.26200.0 bis vor 10.0.26200.9974
• Windows 11 Version 26H1: 10.0.28000.0 bis vor 10.0.28000.3501
• Windows 11 Version 26H2: 10.0.26300.0 bis vor 10.0.26300.9974
• Windows Server 2022: 10.0.20348.0 bis vor 10.0.20348.5870
• Windows Server 2025 (inkl. Server Core): 10.0.26100.0 bis vor 10.0.26100.33822

Quelle: CVE-Eintrag. Noch nicht gegen das MSRC-Advisory geprüft.

Behoben in

• Windows 11 23H2: 10.0.22631.7711 oder neuer
• Windows 11 24H2: 10.0.26100.9974 oder neuer
• Windows 11 25H2: 10.0.26200.9974 oder neuer
• Windows 11 26H1: 10.0.28000.3501 oder neuer
• Windows 11 26H2: 10.0.26300.9974 oder neuer
• Windows Server 2022: 10.0.20348.5870 oder neuer
• Windows Server 2025: 10.0.26100.33822 oder neuer

KB-Artikel: Unbekannt.

Umgehung

Unbekannt für diese CVE. Für eine verwandte CVE wird als vorläufige Massnahme empfohlen, das Storage-Spaces-Controller-Feature dort zu deaktivieren oder zu deinstallieren, wo es nicht benötigt wird. Vorher prüfen, ob dies die Speicherkonfiguration beeinflusst.

Ausnutzung

• Öffentlich bekannt gemacht: Unbekannt.
• Aktiv ausgenutzt: Unbekannt.
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.

Unsere Empfehlung

• MSRC-Advisory und NVD prüfen, sobald sie verfügbar sind, und Angriffsvektor, Berechtigungen sowie Benutzerinteraktion bestätigen.
• Hosts mit Windows Server oder Windows 10/11 inventarisieren, die das Storage-Spaces-Controller-Feature nutzen, und diejenigen priorisieren, die aus unvertrauenswürdigen Netzwerken erreichbar sind.
• Das Microsoft-Update im nächsten Wartungsfenster einspielen, bei bestätigtem Netzwerkvektor früher.
• Das Feature deaktivieren, wo es nicht benötigt wird, nach Prüfung der Speicherkonfiguration.
• Auf öffentlichen Proof-of-Concept-Code oder Berichte über Ausnutzung achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide: CVE-2026-119908 msrc.microsoft.com
• MSRC Advisory: CVE-2026-68844 (sibling) msrc.microsoft.com
• OpenCVE: CVE-2026-68844 (sibling) app.opencve.io
• SentinelOne: Storage Spaces Controller CVE-2026-35415 www.sentinelone.com
• MSRC: CVE-2026-87716 (sibling, DoS) msrc.microsoft.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 20:26.