Windows Storage VSP Driver: Use-after-free führt zu lokaler Rechteerweiterung

Zusammenfassung

Ein Use-after-free-Fehler im Windows Storage VSP Driver, einer Speicherkomponente von Windows auf Kernel-Ebene, erlaubt einem bereits autorisierten Angreifer auf dem System, seine Rechte lokal zu erweitern. Der Angriff ist nur lokal möglich und vom Internet aus nicht erreichbar. Das Hauptrisiko ist eine Rechteerweiterung, nachdem sich ein Angreifer bereits Zugang verschafft hat, beispielsweise durch Phishing oder ein kompromittiertes Konto mit niedrigen Rechten.

Betroffen

• Windows 10 Version 1607 (10.0.14393.0 bis unter 10.0.14393.9612)
• Windows Server 2016, inklusive Server-Core-Installation (10.0.14393.0 bis unter 10.0.14393.9612)
• Weitere Versionen von Windows 10, Windows 11 und Windows Server sind im CVE-Eintrag aufgeführt, unter anderem Windows 10 1809 und 22H2, Windows 11 23H2 bis 26H2 sowie Windows Server 2019 und 2022.

Behoben in

• Windows 10 1607 und Windows Server 2016: 10.0.14393.9612 (fixe Build-Version laut MSRC-Eintrag; KB5126868 stammt aus Sekundärquellen, auf MSRC bestätigen)
• Weitere fixe Builds stammen aus einer Drittquelle und sind nicht verifiziert: Windows 10 1809 und Server 2019 auf 10.0.17763.9376, Server 2022 auf 10.0.20348.5761. Alle Builds auf MSRC prüfen.

Umgehung

Unbekannt. Es wurde keine Workaround des Herstellers gefunden; das Sicherheitsupdate ist die Lösung.

• Bis zur Installation den lokalen Anmelde- und Shell-Zugriff auf betroffenen Systemen einschränken (eigene Empfehlung, nicht vom Hersteller).

Ausnutzung

• Microsoft führt die CVE als nicht ausgenutzt. Die CISA-SSVC-Bewertung lautet Exploitation: none und Automatable: no.
• Zum Zeitpunkt der Recherche nicht im CISA-KEV-Katalog. Kein öffentlicher Proof of Concept gefunden.
• Ungeklärt: Ein Tenable-Plugin für das Oktober-2026-Bulletin meldet einen verfügbaren Exploit, dieser konnte aber nicht mit dieser CVE in Verbindung gebracht werden.

Unsere Empfehlung

• Hosts mit Windows 10 1607 und Windows Server 2016 prioritär mit dem Oktober-2026-Update patchen, nachdem KB und Build auf MSRC bestätigt wurden.
• Prüfen, ob jeder 1607-Host noch Support oder ESU-Updates erhält; falls nicht, eine Migration planen.
• Gemeinsam genutzte Arbeitsstationen, Terminal- oder RDP-Server und Dateiserver priorisieren.
• Lokale Anmeldungen einschränken und auf Rechteerweiterungen überwachen. MSRC und CISA KEV auf Änderungen des Ausnutzungsstatus prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-85872 msrc.microsoft.com
• Vulners NVD record CVE-2026-85872 vulners.com
• OpenCVE CVE-2026-85872 app.opencve.io
• Action1 Patch Tuesday October 2026 www.action1.com
• BaselineWatch Microsoft vulnerabilities baselinewatch.org
• Tenable plugin 365471 www.tenable.com
• Microsoft Q&A on Windows 10 1607 support status learn.microsoft.com
• Strix CVE-2026-85872 (third-party, unverified) www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 01:51.