Microsoft Windows Kernel: Rechteerweiterung durch unsichere Zeigerdereferenzierung

Zusammenfassung

Der Windows-Kernel enthält eine unsichere Zeigerdereferenzierung (CWE-822), die über das Netzwerk ausgelöst werden kann. Gemäss dem offiziellen CVE-Eintrag kann ein nicht authentifizierter Angreifer damit seine Rechte erweitern. Die Angriffskomplexität ist hoch und es ist keine Benutzerinteraktion nötig. Drittanbieter beschreiben die Schwachstelle anders (als Denial of Service im DFS-Pfad), dieser Widerspruch ist noch nicht geklärt, daher ist eine Überprüfung bei MSRC nötig.

Betroffen

• Windows 10 Version 1607 und Windows Server 2016: 10.0.14393.x unterhalb 10.0.14393.9612
• Windows 10 Version 1809 und Windows Server 2019: 10.0.17763.x unterhalb 10.0.17763.9376
• Windows 10 Version 21H2: 10.0.19044.x unterhalb 10.0.19044.7807
• Windows 10 Version 22H2: 10.0.19045.x unterhalb 10.0.19045.7807
• Windows 11 Version 23H2: 10.0.22631.x unterhalb 10.0.22631.7652
• Windows 11 Version 24H2: 10.0.26100.x unterhalb 10.0.26100.9711
• Windows 11 Version 25H2 und 26H2: 10.0.26200.x und 10.0.26300.x unterhalb 10.0.26200.9711 bzw. 10.0.26300.9711
• Windows 11 Version 26H1: 10.0.28000.x unterhalb 10.0.28000.3231
• Windows Server 2012 und 2012 R2 (inklusive Server Core): 6.2.9200.x unterhalb 6.2.9200.26434 bzw. 6.3.9600.x unterhalb 6.3.9600.23470

Behoben in

• Das Oktober-2026-Sicherheitsupdate von Microsoft (veröffentlicht am 13. Oktober 2026) für die jeweilige Windows-Version installieren.
• Behobene Builds: Die oben genannten betroffenen Bereiche enden bei diesen Builds; die genauen behobenen Builds sind im Microsoft Security Update Guide (MSRC) zu bestätigen, da Aggregatoren uneinheitliche Angaben machen.

Umgehung

• Keine vom Hersteller dokumentierte Massnahme. Unbekannt.
• Hinweis von Drittanbietern: Netzwerkverkehr, der die Schwachstelle ausnutzen könnte, bis zur Installation des Patches blockieren oder einschränken.

Ausnutzung

• Nicht im CISA-KEV-Katalog aufgeführt.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Zum Zeitpunkt der Recherche wurden keine Hinweise auf Ausnutzung oder einen öffentlichen Proof of Concept gefunden.
• EPSS etwa 0,7 % bis 1 %.

Unsere Empfehlung

• Das Oktober-2026-Sammelupdate auf allen Windows-Servern und -Clients installieren, zuerst auf Domain Controllern, DFS-Servern und Systemen mit Windows 10 1607 oder Server 2016.
• Den behobenen Build in der MSRC-Tabelle bestätigen.
• SMB-, RPC- und DFS-bezogenen Verkehr zwischen Netzwerksegmenten einschränken und an der Perimeter-Firewall blockieren.
• Den Lifecycle-Status von Windows 10 1607 prüfen und bei Support-Ende eine Migration planen.
• MSRC und NVD auf Änderungen der Auswirkungsbeschreibung überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide (MSRC) msrc.microsoft.com
• OpenCVE: CVE-2026-70111 app.opencve.io
• Vulners NVD mirror: CVE-2026-70111 vulners.com
• Corelight: DFS analysis of CVE-2026-70111 corelight.com
• Zero Day Initiative: October 2026 security update review www.zerodayinitiative.com
• Rapid7: CVE-2026-70111 www.rapid7.com
• Feedly: CVE-2026-70111 feedly.com
• CVEfeed: CVE-2026-70111 cvefeed.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 19:34.