Windows 11: Rechteerweiterung im ReFS-Deduplizierungsdienst

Zusammenfassung

Eine Schwachstelle im Deduplizierungsdienst des Windows Resilient File System (ReFS) erlaubt einem lokalen Benutzer mit niedrigen Rechten, seine Berechtigungen zu erhöhen, möglicherweise bis auf SYSTEM-Ebene. Die Schwachstelle wird als schwache Authentifizierung (CWE-1390) eingestuft. Ein Angriff setzt ein bestehendes lokales Konto voraus und ist nicht aus dem Netzwerk möglich; der Hersteller stuft die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit als hoch ein.

Betroffen

• Windows 11 Version 23H2: 10.0.22631.0 bis vor 10.0.22631.7652
• Windows 11 Version 24H2: 10.0.26100.0 bis vor 10.0.26100.9711
• Windows 11 Version 25H2: 10.0.26200.0 bis vor 10.0.26200.9711
• Windows 11 Version 26H1: 10.0.28000.0 bis vor 10.0.28000.3231
• Windows 11 Version 26H2: 10.0.26300.0 bis vor 10.0.26300.9711
• Windows Server 2025 (inklusive Server Core): 10.0.26100.0 bis vor 10.0.26100.33650

Behoben in

• Sicherheitsupdate für Windows vom Oktober 2026, das die betroffenen Builds auf die oben aufgeführten korrigierten Versionen oder höher bringt.
• Drittquellen nennen KB5126653 (Windows 11 23H2) und KB5126646 (Windows Server 2025); diese Angaben vor der Verteilung im Microsoft Update Catalog prüfen.

Umgehung

• Im Hersteller-Advisory nicht bekannt.
• Inoffizielle Empfehlung: Falls ReFS-Deduplizierung nicht benötigt wird, den ReFS-Deduplizierungsdienst deaktivieren, um die Angriffsfläche zu entfernen. Das Einspielen des Patches bleibt die primäre Massnahme.

Ausnutzung

• Keine bekannte Ausnutzung; nicht im CISA-KEV-Katalog gelistet.
• CISA SSVC: Ausnutzung none, automatisierbar no, technische Auswirkung total.
• Kein öffentlicher Proof of Concept gefunden; dies ist keine bestätigte Abwesenheit.
• EPSS etwa 0,3 Prozent (Drittquellen).

Unsere Empfehlung

• Das Sicherheitsupdate für Windows vom Oktober 2026 auf Windows-11- und Windows-Server-2025-Systemen installieren, zuerst auf Dateiservern und Systemen mit ReFS-Volumes.
• Prüfen, ob die ReFS-Deduplizierung aktiviert ist; falls sie nicht benötigt wird, eine Deaktivierung als Übergangsmassnahme in Betracht ziehen.
• Lokale Konten und Anmelderechte auf betroffenen Systemen einschränken und auf unerwartete Rechteänderungen überwachen.
• Build-Nummern im MSRC Security Update Guide verifizieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-83586 msrc.microsoft.com
• NVD entry via Vulners vulners.com
• Microsoft advisory mirror via Vulners vulners.com
• OpenCVE: CVE-2026-83586 app.opencve.io
• Intruder CVE Monitor: CVE-2026-83586 cvemon.intruder.io
• Strix: CVE-2026-83586 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 03:36.