Microsoft Windows: Lokale Rechteerweiterung durch Use-after-free in NTFS

Zusammenfassung

Eine Use-after-free-Schwachstelle (CWE-416) im Dateisystemtreiber Windows NTFS erlaubt einem Angreifer mit lokalem Zugriff und einem Konto mit niedrigen Rechten, seine Berechtigungen zu erweitern. Ein erfolgreicher Angriff kann zur vollständigen Kontrolle über das System führen, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Der Angriff ist nicht über das Netzwerk erreichbar und setzt ein gültiges lokales Konto voraus; das Hauptrisiko liegt daher auf gemeinsam genutzten Servern, Terminal-Servern und Mehrbenutzer-PCs.

Betroffen

• Windows 10 Version 1607 (Builds vor 10.0.14393.9612)
• Windows 10 Version 1809 (Builds vor 10.0.17763.9376)
• Windows 10 Version 21H2 (Builds vor 10.0.19044.7807)
• Windows 10 Version 22H2 (Builds vor 10.0.19045.7807)
• Windows 11 Version 23H2 (Builds vor 10.0.22631.7652)
• Windows 11 Version 24H2 (Builds vor 10.0.26100.9711)
• Windows 11 Version 25H2 (Builds vor 10.0.26200.9711)
• Windows 11 Version 26H1 (Builds vor 10.0.28000.3231)
• Windows 11 Version 26H2 (Builds vor 10.0.26300.9711)
• Windows Server 2012 R2 inkl. Server Core (Builds vor 6.3.9600.23470)
• Windows Server 2016 inkl. Server Core (Builds vor 10.0.14393.9612)
• Windows Server 2019 (Builds vor 10.0.17763.9376)

Behoben in

• Installieren Sie das kumulative Sicherheitsupdate vom Oktober 2026 für Ihren Build, das die oben aufgeführten korrigierten Builds enthält.
• Bestätigen Sie die genaue KB-Nummer für jeden Build im Microsoft Security Update Guide. Drittanbieter-Angaben sind uneinheitlich, zum Beispiel für Windows 10 22H2.

Umgehung

• Keine vom Hersteller dokumentierte Workaround-Lösung. Installieren Sie das Update.
• Kompensierende Massnahmen (keine Herstellerangabe): lokale Anmeldung auf gemeinsam genutzten Servern und Terminal-Servern einschränken, Standardkonten auf Mehrbenutzer-Systemen begrenzen und auf unerwartete Änderungen von Berechtigungen überwachen.

Ausnutzung

• Nicht bekannt, dass die Schwachstelle aktiv ausgenutzt wird; nicht im CISA-KEV-Katalog gelistet.
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
• EPSS 0.00353 (sehr niedrig).
• Bei der Recherche wurde kein öffentlicher Proof of Concept gefunden; dies ist nicht abschliessend.

Unsere Empfehlung

• Installieren Sie das kumulative Oktober-2026-Update auf allen betroffenen Windows-10-, Windows-11- und Windows-Server-Systemen, beginnend mit Mehrbenutzer-Servern, Terminal-Servern und Dateiservern.
• Prüfen Sie den Supportstatus von Windows 10 1607, Windows Server 2016, Windows 10 1809 und Windows Server 2019. Sind keine Updates mehr verfügbar, planen Sie einen Ersatz oder Extended Security Updates.
• Bis zur Behebung lokale Anmeldung und Standardkonten auf gemeinsam genutzten Systemen einschränken und auf unerwartete Berechtigungsänderungen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-83859 msrc.microsoft.com
• NVD mirror (Vulners): CVE-2026-83859 vulners.com
• OpenCVE: CVE-2026-83859 app.opencve.io
• CNA version data (Vulners): CVE-2026-83859 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 02:48.