Windows NTFS: Lokale Rechteausweitung durch nicht initialisierte Ressource

Zusammenfassung

Ein Fehler im Dateisystem Windows NTFS (CWE-908, Verwendung einer nicht initialisierten Ressource) erlaubt einem berechtigten lokalen Benutzer, seine Rechte zu erweitern. Laut CVSS-Vektor sind die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit hoch. Ein Angreifer benötigt ein bestehendes lokales Konto, daher besteht das Risiko vor allem nach einem initialen Zugriff, etwa auf Mehrbenutzersystemen, Terminalservern oder gemeinsam genutzten Arbeitsstationen.

Betroffen

• Windows 10 Version 1607 (unterhalb 10.0.14393.9688)
• Windows 10 Version 1809 (unterhalb 10.0.17763.9487)
• Windows 10 Version 21H2 (unterhalb 10.0.19044.7846)
• Windows 10 Version 22H2 (unterhalb 10.0.19045.7846)
• Windows 11 Version 23H2 (unterhalb 10.0.22631.7711)
• Windows 11 Version 24H2 (unterhalb 10.0.26100.9974)
• Windows 11 Version 25H2 (unterhalb 10.0.26200.9974)
• Windows 11 Version 26H1 (unterhalb 10.0.28000.3501)
• Windows 11 Version 26H2 (unterhalb 10.0.26300.9974)
• Windows Server 2016, inklusive Server Core (unterhalb 10.0.14393.9688)
• Windows Server 2019, inklusive Server Core (unterhalb 10.0.17763.9487)
• Windows Server 2022 (unterhalb 10.0.20348.5870)

Behoben in

• Behoben in den Builds 10.0.14393.9688, 10.0.17763.9487, 10.0.19044.7846, 10.0.19045.7846, 10.0.22631.7711, 10.0.26100.9974, 10.0.26200.9974, 10.0.28000.3501, 10.0.26300.9974 und 10.0.20348.5870 oder neuer, je nach Version.
• KB-Nummern der kumulativen Updates: Unbekannt. Bitte im MSRC-Advisory prüfen.

Umgehung

Unbekannt. Kein Workaround des Herstellers gefunden; das Sicherheitsupdate einspielen.

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
• Kein öffentlicher Proof of Concept gefunden.
• CVSS-Temporalmetrik: Exploit Code Maturity Unproven (E:U).
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
• EPSS-Wert: Unbekannt.

Unsere Empfehlung

• Das Windows-Sicherheitsupdate vom November 2026 auf allen betroffenen Systemen installieren, zuerst auf Servern, Terminal-/RDS-Servern, Dateiservern und Mehrbenutzer-Arbeitsstationen.
• Die installierte Build-Nummer mit den oben genannten Fixed-Builds vergleichen.
• Interaktive und Remote-Anmelderechte auf die notwendigen Konten beschränken und lokale Konten überprüfen.
• Nach dem Update auf ungewöhnliche Rechteänderungen oder neue Administratorkonten achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-119933 msrc.microsoft.com
• CVE.org CVE Record: CVE-2026-119933 www.cve.org
• Strix.ai: CVE-2026-119933 (secondary, unverified) www.strix.ai
• Qualys: Microsoft Patch Tuesday November 2026 review blog.qualys.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 03:38.