Windows ReFS: Heap-basierter Pufferüberlauf ermöglicht lokale Rechteerweiterung

Zusammenfassung

Ein heap-basierter Pufferüberlauf im Windows Resilient File System (ReFS) erlaubt es einem berechtigten lokalen Benutzer, seine Rechte zu erweitern. Für die Ausnutzung sind lokaler Zugriff und ein gültiges Konto mit niedrigen Rechten auf dem System nötig, daher besteht das Risiko vor allem auf Mehrbenutzersystemen und Dateiservern. Microsoft hat Korrekturen für die betroffenen Windows-Versionen veröffentlicht.

Betroffen

• Windows 10 Version 1607 und Windows Server 2016: Builds unterhalb 10.0.14393.9612
• Windows 10 Version 1809 und Windows Server 2019: Builds unterhalb 10.0.17763.9376
• Windows 10 Version 21H2: Builds unterhalb 10.0.19044.7807
• Windows 10 Version 22H2: Builds unterhalb 10.0.19045.7807
• Windows 11 Version 23H2: Builds unterhalb 10.0.22631.7652
• Windows 11 Version 24H2: Builds unterhalb 10.0.26100.9711
• Windows 11 Version 25H2: Builds unterhalb 10.0.26200.9711
• Windows 11 Version 26H1: Builds unterhalb 10.0.28000.3231
• Windows 11 Version 26H2: Builds unterhalb 10.0.26300.9711
• Windows Server 2022: Builds unterhalb 10.0.20348.5761

Behoben in

• Windows 10 Version 1607 und Windows Server 2016: 10.0.14393.9612
• Windows 10 Version 1809 und Windows Server 2019: 10.0.17763.9376
• Windows 10 Version 21H2: 10.0.19044.7807
• Windows 10 Version 22H2: 10.0.19045.7807
• Windows 11 Version 23H2: 10.0.22631.7652
• Windows 11 Version 24H2: 10.0.26100.9711
• Windows 11 Version 25H2: 10.0.26200.9711
• Windows 11 Version 26H1: 10.0.28000.3231
• Windows 11 Version 26H2: 10.0.26300.9711
• Windows Server 2022: 10.0.20348.5761
• KB-Artikelnummern: siehe Microsoft Security Update Guide.

Umgehung

Unbekannt.

• In den geprüften Quellen wurde keine Workaround oder Massnahme gefunden. Die Installation des Herstellerpatches ist die Korrektur.

Ausnutzung

• Nicht im CISA-KEV-Katalog aufgeführt.
• CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
• EPSS-Wert 0.00341 (unter 1 %).
• In den geprüften Quellen wurde kein öffentlicher Proof-of-Concept gefunden. Dies schliesst nicht aus, dass einer existiert.

Unsere Empfehlung

• Zuerst Windows-10-1607-Systeme identifizieren, insbesondere solche mit ReFS oder mehreren lokalen Benutzern.
• Den korrigierten Build für jede betroffene Version installieren oder nicht mehr unterstützte Systeme aktualisieren.
• Lokale Konten prüfen und Konten mit niedrigen Rechten auf gemeinsam genutzten Systemen und Dateiservern einschränken.
• KB-Nummern und Details vor dem Rollout auf der MSRC-Seite bestätigen.
• Öffentliche Exploit-Quellen vor der Patch-Frist erneut prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-70048 msrc.microsoft.com
• Microsoft Security Update Guide (en-US): CVE-2026-70048 msrc.microsoft.com
• NVD record via Vulners: CVE-2026-70048 vulners.com
• OpenCVE: CVE-2026-70048 app.opencve.io
• Vulners MSCVE: MS:CVE-2026-70048 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 04:28.