Windows NTFS: Rechteausweitung durch unsichere Zeigerdereferenzierung

Zusammenfassung

Eine unsichere Zeigerdereferenzierung im Dateisystemtreiber Windows NTFS erlaubt einem lokalen Angreifer mit einem gültigen Konto mit niedrigen Rechten, seine Privilegien zu erhöhen, möglicherweise bis zu SYSTEM. Der CVSS-Vektor setzt lokalen Zugriff, niedrige Berechtigungen und keine Benutzerinteraktion voraus, weshalb die Schwachstelle nicht direkt aus dem Internet erreichbar ist. Das Hauptrisiko besteht, wenn sich ein Angreifer bereits einen Zugang verschafft hat, etwa durch Phishing oder einen gestohlenen Benutzerzugang, insbesondere auf gemeinsam genutzten PCs, Terminalservern oder Dateiservern.

Betroffen

• Windows 10 Version 1607 und Windows Server 2016: 10.0.14393.0 bis vor 10.0.14393.9612
• Windows 10 Version 1809 und Windows Server 2019: 10.0.17763.0 bis vor 10.0.17763.9376
• Windows 10 Version 21H2: 10.0.19044.0 bis vor 10.0.19044.7807
• Windows 10 Version 22H2: 10.0.19045.0 bis vor 10.0.19045.7807
• Windows 11 Version 23H2: 10.0.22631.0 bis vor 10.0.22631.7652
• Windows 11 Version 24H2: 10.0.26100.0 bis vor 10.0.26100.9711
• Windows 11 Version 25H2: 10.0.26200.0 bis vor 10.0.26200.9711
• Windows 11 Version 26H1: 10.0.28000.0 bis vor 10.0.28000.3231
• Windows 11 Version 26H2: 10.0.26300.0 bis vor 10.0.26300.9711
• Windows Server 2012 und 2012 R2 (inklusive Server Core): 6.2.9200.0 bis vor 6.2.9200.26434 bzw. 6.3.9600.0 bis vor 6.3.9600.23470
• Quelle: CNA-Eintrag; die Versionstabelle auf der MSRC-Seite überprüfen.

Behoben in

• Das Sicherheitsupdate vom Oktober 2026 für jeden Zweig installieren (Windows 10 1607 / Server 2016: KB5126868, Build 14393.9612).
• Windows 10 1809 / Server 2019: Build 17763.9376 oder neuer.
• Windows 10 21H2 / 22H2: Build 19044.7807 bzw. 19045.7807 oder neuer.
• Windows 11 23H2: Build 22631.7652 oder neuer; 24H2 / 25H2 / 26H2: Build 26100.9711 / 26200.9711 / 26300.9711 oder neuer; 26H1: Build 28000.3231 oder neuer.
• Windows Server 2012 / 2012 R2: Build 6.2.9200.26434 bzw. 6.3.9600.23470 oder neuer (wo zutreffend ist ESU erforderlich).

Umgehung

Unbekannt. Es wurde keine dokumentierte Massnahme gefunden; das Einspielen von Updates ist die einzige beschriebene Abhilfe.

Ausnutzung

• Kein öffentlicher Exploit-Code bekannt.
• Es ist nicht bekannt, dass die Schwachstelle aktiv ausgenutzt wird; der CISA-KEV-Katalog wurde nicht direkt geprüft.
• CISA SSVC: Exploitation none, Automatable no.
• Der EPSS-Wert liegt bei etwa 0,3 bis 0,4 Prozent.

Unsere Empfehlung

• Alle Windows-Systeme mit Build-Nummern inventarisieren und Windows 10 1607, Server 2016 sowie Systeme identifizieren, die auf ESU angewiesen sind.
• Das kumulative Update vom Oktober 2026 auf allen betroffenen Systemen einspielen; Systeme mit Exchange zuerst testen, da für KB5126868 ein separates Exchange-Problem gemeldet wird.
• Bei 1607/2016-Systemen, die nicht gepatcht werden können oder nicht mehr unterstützt sind, Ersatz oder ESU-Registrierung planen und lokale Anmeldungen einschränken.
• Lokale Anmeldungen auf gemeinsam genutzten PCs, Terminalservern und Dateiservern einschränken und auf Rechteausweitung zu SYSTEM überwachen.
• Den MSRC-Eintrag und den CISA-KEV-Katalog regelmässig erneut prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Response Center: CVE-2026-70172 msrc.microsoft.com
• Microsoft release health: Windows 10 1607 and Windows Server 2016 learn.microsoft.com
• Microsoft Update Catalog: KB5126868 www.catalog.update.microsoft.com
• NVD record via Vulners vulners.com
• CNA record via Vulners vulners.com
• OpenCVE: CVE-2026-70172 app.opencve.io
• VulDB: CVE-2026-70172 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 04:02.