Windows Brokering File System: Rechteausweitung durch falsche Berechtigungen

Zusammenfassung

Das Windows Brokering File System (bfs.sys), eine Komponente von Windows 11 und Windows Server 2025, enthält eine fehlerhafte Berechtigungszuweisung für eine kritische Ressource. Ein berechtigter lokaler Angreifer mit niedrigen Rechten kann seine Privilegien erweitern, möglicherweise bis hin zu SYSTEM. Der Angriff erfordert lokalen Zugriff und ein bestehendes Benutzerkonto, weshalb die Lücke nicht aus der Ferne ausnutzbar ist.

Betroffen

• Windows 11 Version 24H2: 10.0.26100.0 bis vor 10.0.26100.9974
• Windows 11 Version 25H2: 10.0.26200.0 bis vor 10.0.26200.9974
• Windows 11 Version 26H1: 10.0.28000.0 bis vor 10.0.28000.3501
• Windows 11 Version 26H2: 10.0.26300.0 bis vor 10.0.26300.9974 (Buildnummer aus Drittquelle, auf MSRC zu verifizieren)
• Windows Server 2025 (inklusive Server Core): 10.0.26100.0 bis vor 10.0.26100.33822 (auf MSRC zu verifizieren)

Behoben in

• Windows 11 24H2: 10.0.26100.9974 oder neuer
• Windows 11 25H2: 10.0.26200.9974 oder neuer
• Windows 11 26H1: 10.0.28000.3501 oder neuer
• Windows 11 26H2: 10.0.26300.9974 oder neuer (auf MSRC zu verifizieren)
• Windows Server 2025: 10.0.26100.33822 oder neuer (auf MSRC zu verifizieren)
• KB-Nummern der Updates: Unbekannt.

Umgehung

Unbekannt. Es wurde weder von Microsoft noch von Drittanbietern eine Umgehungsmassnahme identifiziert. Das Einspielen des Patches ist die Abhilfe.

Ausnutzung

• Die CVSS-Exploit-Reife ist E:U (unbewiesen), das heisst, bei der Veröffentlichung war kein Exploit-Code bekannt.
• CISA SSVC: Ausnutzung keine, nicht automatisierbar.
• Es wurden keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden. Der CISA-KEV-Katalog wurde nicht direkt geprüft.

Unsere Empfehlung

• Das Kumulative Update vom November 2026 auf allen betroffenen Windows-11- und Windows-Server-2025-Systemen installieren.
• Die installierten Buildnummern mit dem MSRC-Advisory abgleichen.
• Arbeitsstationen und gemeinsam genutzte Systeme, auf denen Benutzer nicht vertrauenswürdige Software ausführen können, sowie Server mit interaktiven Anmeldungen priorisieren.
• Lokale Konten prüfen und auf unerwartete Rechteänderungen oder SYSTEM-Prozesse von Benutzern mit niedrigen Rechten achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-85929 msrc.microsoft.com
• CVE.org record CVE-2026-85929 www.cve.org
• Strix AI: CVE-2026-85929 (version data, third-party) www.strix.ai
• Cybersecurity News: Windows Brokering File System vulnerability cybersecuritynews.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 03:21.