Microsoft Windows EFS: Absolute Pfadtraversierung ermöglicht Rechteerweiterung

Zusammenfassung

Die Windows Encrypting File System (EFS) enthält eine absolute Pfadtraversierung (CWE-36), die es einem berechtigten Angreifer erlaubt, seine Rechte über das Netzwerk zu erweitern. Der Angreifer benötigt ein gültiges Konto mit niedrigen Rechten, eine Benutzerinteraktion ist nicht erforderlich. Der CVSS-3.1-Basiswert beträgt 8.8 (Hoch), mit vollständigen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit.

Betroffen

• Windows 10 Version 1607 (10.0.14393.0 bis < 10.0.14393.9612)
• Windows 10 Version 1809 (10.0.17763.0 bis < 10.0.17763.9376)
• Windows 10 Version 21H2 (10.0.19044.0 bis < 10.0.19044.7807)
• Windows 10 Version 22H2 (10.0.19045.0 bis < 10.0.19045.7807)
• Windows 11 Version 23H2 (10.0.22631.0 bis < 10.0.22631.7652)
• Windows 11 Version 24H2 (10.0.26100.0 bis < 10.0.26100.9711)
• Windows 11 Version 25H2 (10.0.26200.0 bis < 10.0.26200.9711)
• Windows 11 Version 26H1 (10.0.28000.0 bis < 10.0.28000.3231)
• Windows 11 Version 26H2 (10.0.26300.0 bis < 10.0.26300.9711)
• Windows Server 2012 (6.2.9200.0 bis < 6.2.9200.26434), inklusive Server Core
• Windows Server 2012 R2 (6.3.9600.0 bis < 6.3.9600.23470), inklusive Server Core
• Windows Server 2016 (10.0.14393.0 bis < 10.0.14393.9612)

Behoben in

• Windows 10 Version 1607 und Windows Server 2016: 10.0.14393.9612 oder neuer
• Windows 10 Version 1809: 10.0.17763.9376 oder neuer
• Windows 10 Version 21H2: 10.0.19044.7807 oder neuer
• Windows 10 Version 22H2: 10.0.19045.7807 oder neuer
• Windows 11 Version 23H2: 10.0.22631.7652 oder neuer
• Windows 11 Version 24H2, 25H2 und 26H2: 10.0.26100.9711, 10.0.26200.9711 bzw. 10.0.26300.9711 oder neuer
• Windows 11 Version 26H1: 10.0.28000.3231 oder neuer
• Windows Server 2012 und 2012 R2: 6.2.9200.26434 bzw. 6.3.9600.23470 oder neuer
• Sicherheitsupdate veröffentlicht am 13. Oktober 2026. Die KB-Nummer für Windows 10 Version 1607 ist unbekannt und muss dem MSRC-Advisory entnommen werden.

Umgehung

Unbekannt. Ausser dem Einspielen des Sicherheitsupdates wurde keine vom Hersteller dokumentierte Massnahme identifiziert.

Ausnutzung

• Gemäss MSRC-Advisory nicht in freier Wildbahn ausgenutzt.
• Gemäss MSRC-Advisory nicht öffentlich bekannt gemacht.
• CISA SSVC: Ausnutzung none, automatisierbar no, technische Auswirkung total.
• Nicht im CISA-KEV-Katalog aufgeführt.
• EPSS unter 1%.
• Bei den durchgeführten, begrenzten Recherchen wurde kein öffentlicher Proof-of-Concept gefunden.

Unsere Empfehlung

• Inventarisieren Sie alle Systeme mit Windows 10 Version 1607, Windows 10 Version 1809 sowie Windows Server 2012, 2012 R2 und 2016 und prüfen Sie deren Supportstatus.
• Spielen Sie das Sicherheitsupdate vom 13. Oktober 2026 (oder ein neueres) auf allen betroffenen Systemen ein. Planen Sie ein Upgrade, wo der Support bereits abgelaufen ist.
• Überprüfen Sie Konten mit Zugriff auf gemeinsam genutzte oder verschlüsselte Dateiablagen und beschränken Sie die lokale Anmeldung, wo möglich.
• Beobachten Sie das MSRC-Advisory und den CISA-KEV-Katalog auf Änderungen, etwa veröffentlichten Exploit-Code oder aktive Ausnutzung.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide advisory msrc.microsoft.com
• MSRC mirror (impact and exploitability) msrc.microsoft.com
• Vulners MSCVE record (version ranges) vulners.com
• Vulners NVD record vulners.com
• OpenCVE CVE record (SSVC, KEV, EPSS) app.opencve.io
• Strix CVE record www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 18:31.