Windows 11: Use-after-free im Bind Filter Driver ermöglicht lokale Rechteausweitung
Zusammenfassung
Eine Use-after-free-Schwachstelle (CWE-416) im Windows Bind Filter Driver erlaubt einem berechtigten lokalen Angreifer, seine Rechte zu erweitern. Der CVSS-3.1-Basiswert liegt bei 7.8 (hoch), mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Der Angreifer benötigt ein lokales Konto mit niedrigen Rechten, daher ist die Schwachstelle ein Risiko nach einer Kompromittierung oder durch Insider und kein Einstiegspunkt aus dem Internet.
Betroffen
- Windows 11 Version 23H2: 10.0.22631.0 bis vor 10.0.22631.7652
- Windows 11 Version 24H2: 10.0.26100.0 bis vor 10.0.26100.9711
- Windows 11 Version 25H2: 10.0.26200.0 bis vor 10.0.26200.9711
- Windows 11 Version 26H1: 10.0.28000.0 bis vor 10.0.28000.3231
- Windows 11 Version 26H2: 10.0.26300.0 bis vor 10.0.26300.9711
- Windows Server 2025 (inklusive Server Core): 10.0.26100.0 bis vor 10.0.26100.33650
Behoben in
- Windows 11 Version 23H2: 10.0.22631.7652
- Windows 11 Version 24H2: 10.0.26100.9711
- Windows 11 Version 25H2: 10.0.26200.9711
- Windows 11 Version 26H1: 10.0.28000.3231
- Windows 11 Version 26H2: 10.0.26300.9711
- Windows Server 2025 (inklusive Server Core): 10.0.26100.33650
- Patch-Kanal: Sicherheitsupdate vom Oktober 2026. Die Build-Nummern sind vor dem Erstellen von Change-Tickets auf MSRC zu bestätigen.
Umgehung
Unbekannt. Es wurde kein vom Hersteller dokumentierter Workaround gefunden.
Ausnutzung
- Nicht im Katalog CISA KEV aufgeführt.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- Zum Zeitpunkt der Suche ist kein öffentlicher Proof of Concept bekannt. Dies ist keine vollständige Prüfung.
- EPSS zum Zeitpunkt der Erfassung: etwa 0.36 %.
Unsere Empfehlung
- Das Sicherheitsupdate vom Oktober 2026 auf allen betroffenen Windows-11- und Windows-Server-2025-Systemen installieren. Priorität haben gemeinsam genutzte Arbeitsstationen, RDS-/Terminalserver und Systeme mit lokalen Benutzer- oder Fremdfirmenkonten.
- Die Build-Nummern vor dem Rollout im MSRC-Advisory bestätigen.
- Lokale Anmeldung auf vertrauenswürdige Benutzer auf Mehrbenutzersystemen beschränken.
- Auf unerwartete Rechteänderungen und neue lokale Administratorkonten achten.
Angaben von Microsoft (Patch Tuesday Oktober 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Microsoft Security Update Guide: CVE-2026-70274 msrc.microsoft.com
- NVD mirror on Vulners: CVE-2026-70274 vulners.com
- CVE list record on Vulners: CVE-2026-70274 vulners.com
- OpenCVE: CVE-2026-70274 app.opencve.io
- Strix: CVE-2026-70274 www.strix.ai
- Microsoft customer risk document 2026 CVEs (PDF) cdn-dynmedia-1.microsoft.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 03:53.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.