Windows vhdmp.sys: Use-after-free-Schwachstelle ermöglicht lokale Rechteerweiterung

Zusammenfassung

Ein Use-after-free-Fehler im Miniport-Treiber vhdmp.sys für virtuelle Festplatten in Windows erlaubt einem berechtigten lokalen Benutzer eine Rechteerweiterung. Der CVSS-Vektor setzt eine hohe Angriffskomplexität und niedrige Rechte voraus, ohne Benutzerinteraktion. Die Lücke ist nicht aus der Ferne ausnutzbar, kann aber als Schritt in einer Angriffskette dienen, nachdem ein Angreifer bereits Fuss gefasst hat.

Betroffen

• Windows 10 Version 1607 (Builds vor 10.0.14393.9688)
• Windows 10 Version 1809 (Builds vor 10.0.17763.9487)
• Windows 10 Version 21H2 (Builds vor 10.0.19044.7846)
• Windows 10 Version 22H2 (Builds vor 10.0.19045.7846)
• Windows 11 Version 23H2 (Builds vor 10.0.22631.7711)
• Windows 11 Version 24H2 (Builds vor 10.0.26100.9974)
• Windows 11 Version 25H2 (Builds vor 10.0.26200.9974)
• Windows 11 Version 26H1 (Builds vor 10.0.28000.3501)
• Windows 11 Version 26H2 (Builds vor 10.0.26300.9974)
• Windows Server 2016 und Server Core (Builds vor 10.0.14393.9688)
• Windows Server 2019 und Server Core (Builds vor 10.0.17763.9487)
• Windows Server 2022 (Builds vor 10.0.20348.5870)

Behoben in

• Installieren Sie das kumulative Update vom November 2026 für Ihre Windows-Version (Patch Tuesday, 10. November 2026).
• Korrigierte Builds: 10.0.14393.9688, 10.0.17763.9487, 10.0.19044.7846, 10.0.19045.7846, 10.0.22631.7711, 10.0.26100.9974, 10.0.26200.9974, 10.0.28000.3501, 10.0.26300.9974, 10.0.20348.5870.
• KB-Artikelnummern: Unbekannt.

Umgehung

Unbekannt. In den Quellen wurde kein Workaround des Herstellers gefunden. Das Einspielen des Patches ist die praktische Massnahme.

Ausnutzung

• Ausnutzung in freier Wildbahn für diese CVE: Unbekannt. Talos berichtet, dass Microsoft eine im Oktober-Patch-Zyklus genannte Schwachstelle als aktiv ausgenutzt meldet, ohne sie zu benennen.
• CISA-SSVC-Bewertung: Ausnutzung none, automatisierbar nein, technische Auswirkung total.
• CVSS-Temporalvektor E:U (Reifegrad des Exploit-Codes unbewiesen).
• Öffentlicher Proof of Concept: keiner gefunden.

Unsere Empfehlung

• Installieren Sie das kumulative Update vom November 2026 auf allen Windows-10-, Windows-11- und Serversystemen; priorisieren Sie Remote-Desktop- und Terminalserver sowie gemeinsam genutzte PCs.
• Prüfen Sie im MSRC-Abschnitt zur Ausnutzbarkeit und in der Tabelle der betroffenen Produkte Ihre Builds.
• Prüfen Sie, welche Standardbenutzer VHD/VHDX-Dateien einbinden können, und schränken Sie dies dort ein, wo es nicht benötigt wird.
• Überwachen Sie Endpunkte und Server auf ungewöhnliche Änderungen von Berechtigungen.
• Der Treiber war 2026 mehrfach von Use-after-free-Fehlern betroffen; behandeln Sie ihn deshalb im regulären Patching.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE Record CVE-2026-95989 www.cve.org
• Microsoft Security Update Guide CVE-2026-95989 msrc.microsoft.com
• Cisco Talos: Microsoft Patch Tuesday November 2026 blog.talosintelligence.com
• Qualys: Microsoft Patch Tuesday November 2026 blog.qualys.com
• Strix: CVE-2026-95989 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 07:54.