Windows Bind Filter Driver: Rechteausweitung durch fehlerhafte Zugriffskontrolle
Zusammenfassung
Eine Schwachstelle im Windows Bind Filter Driver (bindflt.sys) erlaubt einem berechtigten lokalen Benutzer, seine Rechte zu erweitern. Der Angreifer benötigt eine gültige lokale Anmeldung und niedrige Berechtigungen, daher ist die Schwachstelle nicht direkt aus dem Internet erreichbar. Sie ist vor allem nach einer initialen Kompromittierung relevant, beispielsweise durch Phishing oder auf gemeinsam genutzten Mehrbenutzersystemen.
Betroffen
- Windows 11 Version 23H2 vor 10.0.22631.7652 (x64 und ARM64; die Build-Nummer ist umstritten, siehe Recherchenotizen)
- Windows Server 2025 (inklusive Server Core) vor 10.0.26100.33650
Behoben in
- Windows 11 Version 23H2: kumulatives Update KB5126653 vom Oktober 2026 (gemeldet, noch nicht gegen das MSRC-Advisory bestätigt)
- Windows Server 2025: KB5126646 (von Dritten gemeldet, nicht gegen den Microsoft Update Catalog bestätigt)
Umgehung
Unbekannt. Es wurde keine vom Hersteller dokumentierte Massnahme identifiziert. Die Installation des Updates ist die empfohlene Behebung.
Ausnutzung
Keine bekannte Ausnutzung. Die CVE ist nicht im Katalog CISA KEV enthalten. CISA SSVC bewertet die Ausnutzung als none, die Automatisierbarkeit als no und die technische Auswirkung als total. Es wurde kein öffentlicher Proof of Concept gefunden, dies beweist jedoch nicht, dass keiner existiert.
Unsere Empfehlung
- Das kumulative Update vom Oktober 2026 auf allen betroffenen Windows 11 Version 23H2- und Windows Server 2025-Systemen installieren und die Build-Nummer im MSRC-Advisory prüfen.
- Systeme mit mehreren lokalen Benutzern, Remote-Desktop- oder Terminalservern, Entwickler-Arbeitsstationen sowie Container- oder Virtualisierungshosts priorisieren.
- Lokale Anmeldungen einschränken und lokale Administratorrechte überprüfen.
- Auf ungewöhnliche Berechtigungsänderungen und neue lokale Administratorkonten achten.
Angaben von Microsoft (Patch Tuesday Oktober 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Microsoft Security Update Guide: CVE-2026-70299 msrc.microsoft.com
- NVD configuration via Vulners vulners.com
- Microsoft advisory mirror via Vulners (MS:CVE-2026-70299) vulners.com
- BleepingComputer: Windows 11 KB5127648 and KB5126653 cumulative updates www.bleepingcomputer.com
- Microsoft 365 Message Center MC1506288 mc.merill.net
- OpenCVE: CVE-2026-70299 app.opencve.io
- AskWoody: October 2026 Windows patches www.askwoody.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 18:44.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.