Microsoft Windows: Heap-basierter Pufferüberlauf im Volume Manager Extension Driver

Zusammenfassung

Ein heap-basierter Pufferüberlauf im Windows Volume Manager Extension Driver, einem Treiber auf Kernel-Ebene, betrifft mehrere Client- und Server-Editionen von Windows von Windows 10 1607 bis Windows 11 26H2 sowie Windows Server 2012 bis 2016. Laut Microsoft ermöglicht die Schwachstelle die Ausführung von Code, und der NVD-Score von 9.8 setzt Netzwerkzugriff ohne Berechtigungen und ohne Benutzerinteraktion voraus. Microsoft stuft den Schweregrad als wichtig ein, und der Angriffsweg über das Netzwerk ist nicht verifiziert, weshalb die Angabe 'remote' als unbestätigt zu betrachten ist.

Betroffen

• Windows 10 Version 1607 (Builds vor 10.0.14393.9612)
• Windows 10 Version 1809 (Builds vor 10.0.17763.9376)
• Windows 10 Version 21H2 und 22H2 (Builds vor 10.0.19045.7807)
• Windows 11 Version 23H2 (Builds vor 10.0.22631.7652)
• Windows 11 Version 24H2 und 25H2 (Builds vor 10.0.26100.9711 bzw. 10.0.26200.9711)
• Windows 11 Version 26H1 (Builds vor 10.0.28000.3231)
• Windows 11 Version 26H2 (Builds vor 10.0.26300.9711)
• Windows Server 2012 und 2012 R2, inklusive Server-Core-Installationen
• Windows Server 2016 (Builds vor 10.0.14393.9612)

Behoben in

• Sicherheitsupdates vom 13. Oktober 2026 über Windows Update, wie im MSRC Security Update Guide aufgeführt.
• Korrigierte Builds gemäss CNA-Eintrag: siehe Liste der betroffenen Versionen oben (die Build-Nummer nach dem '<'-Zeichen ist der erste korrigierte Build).
• Quellen widersprechen sich bei einzelnen korrigierten Builds (Windows 10 22H2, Windows Server 2012 und 2025). Vor der Verteilung mit der MSRC-Tabelle abgleichen.

Umgehung

Unbekannt. In den Quellen wurde keine Massnahme oder Umgehungslösung gefunden. Den Abschnitt zu Massnahmen und die FAQ im MSRC prüfen.

Ausnutzung

• Microsoft führt die Schwachstelle als nicht öffentlich bekannt und nicht ausgenutzt, mit einer Bewertung der Ausnutzbarkeit als 'Exploitation Less Likely'.
• VulDB meldet keinen verfügbaren Exploit und keine öffentlichen technischen Details, beschreibt die Ausnutzung jedoch als einfach und remote ohne Authentifizierung. Dies widerspricht der Einschätzung von Microsoft.
• Es wurde kein öffentlicher Proof of Concept und keine Ausnutzung in freier Wildbahn gefunden.

Unsere Empfehlung

• Betroffene Windows-Systeme so rasch wie möglich patchen, zuerst Server mit Internetzugang und weitere Server, da der Treiber auch in Windows-Server-Editionen vorhanden ist.
• Den genauen korrigierten Build jedes Systems vor dem Rollout mit der MSRC-Tabelle abgleichen.
• Die Ablösung oder das Upgrade von Windows-10-1607-Systemen planen und das Supportende auf der Lifecycle-Seite von Microsoft prüfen.
• Auf Veröffentlichungen von Proof of Concept und Berichte über Ausnutzung achten sowie Logs auf ungewöhnliche Treiber- oder Kernel-Abstürze prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC advisory CVE-2026-85928 msrc.microsoft.com
• NVD data via Vulners mirror vulners.com
• OpenCVE CVE-2026-85928 app.opencve.io
• VulDB entry 419348 vuldb.com
• Strix CVE-2026-85928 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 18:25.