Windows: Heap-based Buffer Overflow im Storage Spaces Controller

Zusammenfassung

Ein Heap-based Buffer Overflow im Windows Storage Spaces Controller erlaubt einem berechtigten lokalen Benutzer, seine Rechte zu erweitern. Ein Angreifer braucht bereits einen Zugang zum System, etwa über einen kompromittierten Benutzer- oder Dienstkonto, sowie niedrige Privilegien. Eine erfolgreiche Ausnutzung kann zur vollständigen Kontrolle über das betroffene System führen (CVSS 3.1: 7.8, hoch).

Betroffen

• Windows 10 Version 1607 (10.0.14393.0 bis unter 10.0.14393.9512)
• Windows 10 Version 1809 (10.0.17763.0 bis unter 10.0.17763.9245)
• Windows 10 Version 21H2 (10.0.19044.0 bis unter 10.0.19044.7725)
• Windows 10 Version 22H2 (10.0.19045.0 bis unter 10.0.19045.7725)
• Windows 11 Version 23H2 (10.0.22631.0 bis unter 10.0.22631.7582)
• Windows 11 Version 24H2 (10.0.26100.0 bis unter 10.0.26100.9445)
• Windows 11 Version 25H2 (10.0.26200.0 bis unter 10.0.26200.9445)
• Windows 11 Version 26H1 (10.0.28000.0 bis unter 10.0.28000.2954)
• Windows Server 2012 inkl. Server Core (6.2.9200.0 bis unter 6.2.9200.26349)
• Windows Server 2012 R2 inkl. Server Core (6.3.9600.0 bis unter 6.3.9600.23398)
• Windows Server 2016 inkl. Server Core (10.0.14393.0 bis unter 10.0.14393.9512)

Behoben in

• Windows 10 Version 1607 und Windows Server 2016: Build 10.0.14393.9512 (gemäss Aggregator-Daten, noch nicht gegen MSRC bestätigt)
• Windows 10 Version 1809: Build 10.0.17763.9245
• Windows 10 21H2 und 22H2: Build 10.0.19044.7725 / 10.0.19045.7725
• Windows 11 Version 23H2: Build 10.0.22631.7582
• Windows 11 Version 24H2 und 25H2: Build 10.0.26100.9445 / 10.0.26200.9445
• Windows 11 Version 26H1: Build 10.0.28000.2954
• Windows Server 2012: Build 6.2.9200.26349
• Windows Server 2012 R2: Build 6.3.9600.23398
• KB-Nummer für Windows 10 1607 und Windows Server 2016: Unbekannt. Im MSRC Security Update Guide prüfen.

Umgehung

Unbekannt. Der CVE-Eintrag nennt keine Workaround-Massnahme. Ein nicht verifizierter Aggregator schlägt vor, den Storage Spaces zu deaktivieren, dies ist jedoch nicht durch eine primäre Quelle bestätigt. Die Auswirkungen auf die Speicherung vor einer Deaktivierung im Produktivbetrieb testen.

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn gefunden; nicht im CISA KEV; CISA SSVC bewertet die Ausnutzung mit keine.
• Bei unseren Recherchen wurde kein öffentlicher Proof-of-Concept-Code gefunden. Dies ist kein bestätigter Negativbefund.
• Nur lokaler Angriffsvektor (AV:L); EPSS-Wert 0.00245 (etwa 0.25% Ausnutzungswahrscheinlichkeit innerhalb von 30 Tagen).

Unsere Empfehlung

• Vor der Verteilung im MSRC-Advisory die exakte Fix-Build- und KB-Nummer prüfen.
• Hosts mit Windows 10 1607 und Windows Server 2016 zuerst patchen und prüfen, ob diese Systeme noch unterstützt werden.
• Das Sicherheitsupdate vom September 2026 auf allen anderen betroffenen Windows-Systemen im üblichen Patch-Management installieren.
• Lokale Anmeldungen einschränken und privilegierte Konten sowie Dienstkonten schützen, um den nötigen Zugang für einen Angreifer zu erschweren.
• Auf öffentlichen Proof-of-Concept-Code oder eine Aufnahme ins KEV überwachen und in einer Woche erneut prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-87706 msrc.microsoft.com
• Strix: CVE-2026-87706 www.strix.ai
• Vulners: MSCVE MS:CVE-2026-87706 vulners.com
• Vulners: CIRCL CIRCL:CVE-2026-87706 vulners.com
• VulDB: vuln 419377 vuldb.com
• Vulners: VulnRichment CVE-2026-87706 vulners.com
• OffSeq Radar: CVE-2026-87706 radar.offseq.com
• OpenCVE: CVE-2026-87706 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 01:35.