Windows CCFFilter Driver: Use-after-free führt zu Remote Code Execution

Zusammenfassung

Eine Use-after-free-Schwachstelle (CWE-416) im Windows CCFFilter Driver kann es einem Angreifer erlauben, Code auszuführen. Der CNA bewertet sie mit CVSS 9.8 als nicht authentifiziert und über das Netzwerk erreichbar, was sie als kritisch einstuft. Die ZDI-Auswertung vom Oktober 2026 beschreibt hingegen einen berechtigten lokalen Angreifer als Voraussetzung, weshalb das tatsächliche Risiko umstritten ist und anhand der MSRC-Meldung geprüft werden muss. Die Funktion dieses Treibers und seine Erreichbarkeit in der Standardkonfiguration sind unbekannt.

Betroffen

• Windows 10 Version 1607 (10.0.14393.0 bis unter 10.0.14393.9612)
• Windows 10 Version 1809 (10.0.17763.0 bis unter 10.0.17763.9376)
• Windows Server 2016, inklusive Server Core (10.0.14393.0 bis unter 10.0.14393.9612)
• Windows Server 2019, inklusive Server Core (10.0.17763.0 bis unter 10.0.17763.9376)
• Windows Server 2022 (10.0.20348.0 bis unter 10.0.20348.5761)
• Windows Server 2025, inklusive Server Core (10.0.26100.0 bis unter 10.0.26100.33650)
• Einige Sekundärquellen nennen zusätzlich Windows 10 21H2, 22H2 und Windows 11 23H2; dies ist unbestätigt.

Behoben in

• Windows 10 1607 und Server 2016: 10.0.14393.9612 (laut Aggregator-Daten, auf MSRC prüfen)
• Windows 10 1809 und Server 2019: 10.0.17763.9376 (laut Aggregator-Daten, auf MSRC prüfen)
• Windows Server 2022: 10.0.20348.5761 (laut Aggregator-Daten, auf MSRC prüfen)
• Windows Server 2025: 10.0.26100.33650 (laut Aggregator-Daten, auf MSRC prüfen)
• Patches werden in den kumulativen Updates des Patch Tuesday im Oktober 2026 erwartet; die KB-Nummern sind unbestätigt.

Umgehung

Unbekannt.

Ausnutzung

• Nicht in CISA KEV aufgeführt.
• CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung total.
• EPSS liegt bei etwa 0.01.
• In unseren Recherchen wurde kein öffentlicher Proof-of-Concept oder Exploit gefunden; dies beweist nicht, dass keiner existiert.

Unsere Empfehlung

• Die MSRC-Meldung und die FAQ lesen, um betroffene Builds und die Notwendigkeit einer Netzwerkexposition zu bestätigen.
• Betroffene Windows-10- und Windows-Server-Systeme im nächsten Wartungsfenster patchen; das Patchen ist die einzig bestätigte Behebung.
• Server priorisieren, die aus nicht vertrauenswürdigen Netzen erreichbar sind.
• CISA KEV und veröffentlichte Exploits überwachen und NVD auf Änderungen des Analysestatus oder der CWE prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-83780 msrc.microsoft.com
• OpenCVE: CVE-2026-83780 app.opencve.io
• ZDI: October 2026 security update review www.zerodayinitiative.com
• Vulners NVD record: CVE-2026-83780 vulners.com
• Vulners MSCVE record: CVE-2026-83780 vulners.com
• Strix: CVE-2026-83780 www.strix.ai
• Vulners Rapid7 Microsoft Windows CVE-2026-83780 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 18:35.