Windows Server for NFS: Remote Code Execution durch Out-of-Bounds-Read

Zusammenfassung

Ein Out-of-Bounds-Read in der NFS-Implementierung von Windows Server erlaubt einem nicht authentifizierten Angreifer im Netzwerk, Code auszuführen. Der CVSS-Vektor verlangt keine Berechtigungen, enthält aber Benutzerinteraktion (UI:R), und Drittquellen widersprechen sich, wie der Auslöser funktioniert. Das Risiko betrifft nur Systeme, auf denen die Rolle Services for NFS installiert ist, und ist am höchsten, wenn ein NFS-Endpunkt aus dem Internet erreichbar ist.

Betroffen

• Windows 10 Version 1607: 10.0.14393.0 bis vor 10.0.14393.9612
• Windows 10 Version 1809: 10.0.17763.0 bis vor 10.0.17763.9376
• Windows Server 2012 (inkl. Server Core): 6.2.9200.0 bis vor 6.2.9200.26434
• Windows Server 2012 R2 (inkl. Server Core): 6.3.9600.0 bis vor 6.3.9600.23470
• Windows Server 2016 (inkl. Server Core): 10.0.14393.0 bis vor 10.0.14393.9612
• Windows Server 2019 (inkl. Server Core): 10.0.17763.0 bis vor 10.0.17763.9376
• Windows Server 2022: 10.0.20348.0 bis vor 10.0.20348.5761
• Windows Server 2025 (inkl. Server Core): 10.0.26100.0 bis vor 10.0.26100.33650

Behoben in

• Behoben in den Sicherheitsupdates vom Oktober 2026.
• Die Build-Nummern stammen aus von Drittanbietern gespiegelten CNA-Daten und müssen auf der MSRC-Seite überprüft werden.
• KB5126646 (Server 2025) und KB5126651 (Windows 10 1809 / Server 2019) werden von Tenable genannt. Für Windows 10 1607, Server 2012, 2012 R2, 2016 und 2022 wurden keine bestätigten KB-Nummern gefunden.

Umgehung

• Die Rolle Services for NFS auf Servern deaktivieren, die sie nicht benötigen, bis das Update installiert ist (Empfehlung eines Drittanbieters, nicht von Microsoft bestätigt).
• Externen Zugriff auf NFS mit Netzwerksegmentierung und Firewall-Regeln blockieren. Vorher prüfen, welche Ports der NFS-Server verwendet.

Ausnutzung

• Microsoft stuft die Reife des Exploit-Codes als Unproven ein. Temporaler CVSS-Wert: 7.7.
• EPSS: 0.00557 (etwa 0.56 % Wahrscheinlichkeit einer Ausnutzung innerhalb von 30 Tagen).
• Kein öffentlicher Proof-of-Concept-Exploit gefunden.
• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden. Der KEV-Katalog der CISA wurde nicht direkt geprüft.

Unsere Empfehlung

• Prüfen, ob die Rolle NFS auf einem Windows Server installiert ist.
• Falls ja, das Sicherheitsupdate vom Oktober 2026 installieren und die Build-Nummer auf der MSRC-Seite verifizieren.
• Windows 10 1607 ist je nach Lizenztyp möglicherweise nicht mehr im Support. Die Lifecycle-Seite von Microsoft prüfen.
• Bis zum Patch die Rolle NFS dort deaktivieren, wo sie nicht benötigt wird, und den externen Zugriff auf die NFS-Ports blockieren.
• NFS-Serverprotokolle auf ungewöhnliche Aktivitäten überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-88115 msrc.microsoft.com
• SentinelOne Vulnerability Database: CVE-2026-88115 www.sentinelone.com
• Strix: CVE-2026-88115 www.strix.ai
• Vulners (CIRCL): CVE-2026-88115 vulners.com
• Vulners (VulnCheck/VulnRichment): CVE-2026-88115 vulners.com
• OpenCVE: CVE-2026-88115 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 18:14.