Windows Brokering File System: Use-after-free ermöglicht lokale Rechteerweiterung

Zusammenfassung

Eine Use-after-free-Schwachstelle (CWE-416) im Windows Brokering File System (bfs.sys) erlaubt einem berechtigten lokalen Angreifer, seine Rechte zu erweitern. Für die Ausnutzung sind lokaler Zugriff, ein Konto mit niedrigen Rechten und eine hohe Angriffskomplexität nötig. Microsoft bewertet die CVE mit 7.0 (CVSS 3.1, hoch); die NVD-Analyse steht noch aus, und es wurde keine Ausnutzung gemeldet.

Betroffen

• Windows 11 Version 24H2: 10.0.26100.0 bis vor 10.0.26100.9974
• Windows 11 Version 25H2: 10.0.26200.0 bis vor 10.0.26200.9974
• Windows 11 Version 26H1: 10.0.28000.0 bis vor 10.0.28000.3501
• Windows 11 Version 26H2: ab 10.0.26300.0 (obere Build-Grenze unbestätigt)
• Windows Server 2025 und Server-Core-Installation: 10.0.26100.0 bis vor 10.0.26100.33822
• Windows 10 und Windows 11 23H2: Unbekannt.

Behoben in

• Windows 11 24H2: 10.0.26100.9974 oder neuer
• Windows 11 25H2: 10.0.26200.9974 oder neuer
• Windows 11 26H1: 10.0.28000.3501 oder neuer
• Windows Server 2025: 10.0.26100.33822 oder neuer
• Windows 11 26H2: Unbestätigt (eine Drittquelle nennt 10.0.26300.9974)
• KB-Nummer: Unbestätigt (eine Drittquelle nennt KB5132061 für Windows 11 24H2, 25H2 und 26H2)

Umgehung

Unbekannt. Es wurde keine Workaround-Massnahme des Herstellers identifiziert; das Einspielen des Sicherheitsupdates ist die dokumentierte Abhilfe.

Ausnutzung

• In freier Wildbahn ausgenutzt: keine Hinweise gefunden; CISA-SSVC-Ausnutzung: keine
• Vor dem Patch öffentlich bekannt gemacht: keine Meldung
• Öffentlicher Proof of Concept: keiner gefunden
• CISA KEV: nicht gelistet (laut einer Drittquelle)

Unsere Empfehlung

• Die kumulativen Updates vom November 2026 im monatlichen Patch-Zyklus einspielen, dabei Windows-Server-2025-Hosts, Terminalserver und gemeinsam genutzte Mehrbenutzer-Endgeräte priorisieren.
• Die finalen Build-Nummern und KB-Nummern im MSRC-Eintrag überprüfen.
• Interaktive und lokale Anmeldungen auf Servern einschränken und Endgeräte nach Phishing- oder Malware-Vorfällen auf Rechteerweiterungen prüfen.
• Den NVD-Eintrag nach der Analyse erneut prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-95979 msrc.microsoft.com
• CVE Record CVE-2026-95979 (Microsoft CNA) www.cve.org
• Tenable: Microsoft November 2026 Patch Tuesday www.tenable.com
• Admin Signal: November 2026 Patch Tuesday priorities www.adminsignal.com
• Cybersecurity News: Windows Brokering File System vulnerability cybersecuritynews.com
• GBHackers: Microsoft Brokering File System vulnerability gbhackers.com
• Strix: CVE-2026-95979 (third-party data) www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 07:55.