Windows exFAT File System: Heap-basierter Pufferüberlauf ermöglicht lokale Rechteerweiterung

Zusammenfassung

Ein heap-basierter Pufferüberlauf im Windows-exFAT-File-System-Treiber erlaubt einem authentifizierten lokalen Angreifer, seine Rechte zu erweitern, potenziell bis auf SYSTEM. Der Angreifer benötigt niedrige Berechtigungen und keine Benutzerinteraktion. Besonders gefährdet sind Systeme, auf denen Benutzer exFAT-Wechselmedien einbinden können oder mehrere Benutzer lokal angemeldet sind. Der CVSS-Basiswert beträgt 7.8 (hoch).

Betroffen

• Windows 10 Version 1607: 10.0.14393.0 bis vor 10.0.14393.9612
• Windows 10 Version 1809: 10.0.17763.0 bis vor 10.0.17763.9376
• Windows 10 Version 21H2: 10.0.19044.0 bis vor 10.0.19044.7807
• Windows 10 Version 22H2: 10.0.19045.0 bis vor 10.0.19045.7807
• Windows 11 Version 23H2: 10.0.22631.0 bis vor 10.0.22631.7652
• Windows 11 Version 24H2: 10.0.26100.0 bis vor 10.0.26100.9711
• Windows 11 Version 25H2: 10.0.26200.0 bis vor 10.0.26200.9711
• Windows 11 Version 26H1: 10.0.28000.0 bis vor 10.0.28000.3231
• Windows 11 Version 26H2: 10.0.26300.0 bis vor 10.0.26300.9711
• Windows Server 2012 (inklusive Server Core): 6.2.9200.0 bis vor 6.2.9200.26434
• Windows Server 2012 R2 (inklusive Server Core): 6.3.9600.0 bis vor 6.3.9600.23470
• Windows Server 2016: 10.0.14393.0 bis vor 10.0.14393.9612

Behoben in

• Das Microsoft-Sicherheitsupdate für die betroffene Edition installieren. Die korrigierten Builds entsprechen den oben aufgeführten oberen Grenzen.
• KB-Nummern: Unbekannt. Diese im MSRC Security Update Guide bestätigen.
• Windows 10 Version 1607 LTSB hat möglicherweise am 13. Okt 2026 das Supportende erreicht. Die Lifecycle-Seite von Microsoft prüfen. Falls der Support beendet ist, steht möglicherweise kein Fix zur Verfügung.

Umgehung

• Kein vom Hersteller bestätigter Workaround gefunden.
• Eine Drittquelle empfiehlt, exFAT-Unterstützung auf Systemen zu deaktivieren oder zu entfernen, die sie nicht benötigen, falls ein Patch nicht möglich ist. Vor einer Anwendung bei Microsoft prüfen, ob dies unterstützt wird und welche Funktionen dadurch wegfallen.
• Allgemeine Massnahme: Die Nutzung von USB- und Wechselmedien einschränken und die lokale Anmeldung auf gemeinsam genutzten Systemen begrenzen.

Ausnutzung

• CISA KEV: nicht gelistet.
• EPSS: unter 1 Prozent (sehr niedrig).
• CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
• Kein öffentlicher Proof-of-Concept-Exploit gefunden.
• Schätzung des Exploit-Marktpreises von USD 5'000 bis 25'000 durch VulDB. Dies ist eine Schätzung und kein Beleg für eine Ausnutzung.

Unsere Empfehlung

• Betroffene Windows-Systeme vorrangig mit dem aktuellen Microsoft-Sicherheitsupdate patchen, insbesondere gemeinsam genutzte PCs, Terminal- und RDS-Server sowie Kioske.
• Systeme mit Windows 10 Version 1607 ersetzen, wenn der Lifecycle abgelaufen ist und kein Fix verfügbar ist.
• Die Nutzung von USB- und SD-Medien einschränken oder überwachen und die lokale Anmeldung auf Mehrbenutzersystemen begrenzen.
• exFAT-Exposition inventarisieren und den KEV- und EPSS-Status in den kommenden Wochen erneut prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-85822 msrc.microsoft.com
• Vulners: CVE-2026-85822 vulners.com
• OpenCVE: CVE-2026-85822 app.opencve.io
• VulDB: vuln 419240 vuldb.com
• Strix: CVE-2026-85822 www.strix.ai
• Vulners MSCVE: MS:CVE-2026-85822 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 02:06.