Windows NTFS: Heap-basierter Pufferüberlauf ermöglicht lokale Codeausführung

Zusammenfassung

Ein heap-basierter Pufferüberlauf in der Windows-Dateisystemkomponente NTFS erlaubt einem berechtigten lokalen Angreifer die Ausführung von Code, gemäss CVE-Beschreibung (CWE-122, CVSS 7.8). Der Titel im CNA-Eintrag nennt Remote Code Execution, was dem lokalen Angriffsvektor in der Beschreibung widerspricht; der genaue Angriffsweg sollte daher mit Microsoft bestätigt werden. Der Angreifer benötigt lokalen Zugriff und niedrige Berechtigungen, daher besteht das Hauptrisiko in einer Rechteerweiterung oder Codeausführung nach einem ersten Zugriff, etwa über ein kompromittiertes Benutzerkonto auf einem gemeinsam genutzten Mehrbenutzersystem oder Server.

Betroffen

• Windows 10 Version 1607 (Build 10.0.14393.0 bis unter 10.0.14393.9612)
• Windows 10 Version 1809 (unter 10.0.17763.9376)
• Windows 10 Version 21H2 (unter 10.0.19044.7807)
• Windows 10 Version 22H2 (unter 10.0.19045.7807)
• Windows 11 Version 23H2 (unter 10.0.22631.7652)
• Windows 11 Version 24H2 (Build 26100; korrigierter Build ungeklärt, Quellen widersprechen sich)
• Windows 11 Version 25H2 (unter 10.0.26200.9711)
• Windows 11 Version 26H1 (unter 10.0.28000.3231)
• Windows 11 Version 26H2 (unter 10.0.26300.9711)
• Windows Server 2012 und Server Core (unter 6.2.9200.26434)
• Windows Server 2012 R2 und Server Core (unter 6.3.9600.23470)
• Windows Server 2016 (unter 10.0.14393.9612)
• Windows Server 2019 und Server 2022 sind in den NVD-Daten aufgeführt, aber nicht gegen den CNA-Eintrag geprüft

Behoben in

• Das Microsoft-Sicherheitsupdate für diese CVE aus dem Patch Tuesday vom Oktober 2026 installieren.
• Genaue KB-Nummern und der korrigierte Build für Windows 11 24H2 sind nicht verifiziert; im MSRC Security Update Guide prüfen.

Umgehung

Unbekannt. In den Quellen wurde keine Massnahme gefunden; das Patchen ist die einzige dokumentierte Behebung.

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
• CISA-SSVC-Daten: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Kein öffentlicher Proof of Concept gefunden.
• EPSS etwa 0.0035 (sehr niedrig).
• Ein Fehlen im CISA-KEV-Katalog wurde nicht bestätigt.

Unsere Empfehlung

• Das kumulative Update vom Oktober 2026 auf alle betroffenen Windows-Builds im regulären Patch-Zyklus einspielen, mit höherer Priorität für Mehrbenutzersysteme und Server.
• Genaue korrigierte Builds im MSRC Security Update Guide prüfen, bevor Build-Nummern verwendet werden.
• Hosts mit Windows 10 1607 identifizieren und eine Migration planen, da dieser Build nicht mehr unterstützt wird und Patches allein eventuell nicht genügen.
• Lokale Anmeldung auf Servern und gemeinsam genutzten Hosts einschränken und auf ungewöhnliche lokale Codeausführung überwachen.
• Gemäss den vorliegenden Hinweisen ist keine Notfallmassnahme erforderlich.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide (MSRC) msrc.microsoft.com
• OpenCVE record CVE-2026-83640 app.opencve.io
• Vulners CVE list record vulners.com
• Vulners NVD record vulners.com
• Strix CVE record www.strix.ai
• SonicWall October 2026 Microsoft bulletin coverage www.sonicwall.com
• CrowdStrike Patch Tuesday analysis October 2026 www.crowdstrike.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 03:31.