Windows 11 Brokering File System: Lokale Rechteerweiterung
Zusammenfassung
Das Windows Brokering File System (bfs.sys), das Datei-, Pipe- und Registrierungszugriffe für Sandbox-Anwendungen verwaltet, enthält eine Schwachstelle durch Freigabe eines ungültigen Zeigers oder einer ungültigen Referenz (CWE-763). Ein berechtigter lokaler Angreifer mit niedrigen Rechten kann seine Privilegien auf dem betroffenen System auf eine höhere Stufe erweitern. Die Angriffskomplexität ist hoch und es ist keine Benutzerinteraktion nötig, der Angreifer benötigt jedoch zuerst lokale Codeausführung, zum Beispiel durch Schadsoftware oder unsichere Software, die ein Benutzer ausführt.
Betroffen
- Windows 11 Version 24H2: 10.0.26100.0 bis vor 10.0.26100.9974
- Windows 11 Version 25H2: 10.0.26200.0 bis vor 10.0.26200.9974
- Windows 11 Version 26H1: 10.0.28000.0 bis vor 10.0.28000.3501
- Windows 11 Version 26H2: 10.0.26300.0 bis vor 10.0.26300.9974
- Windows Server, Windows 10 und Windows 11 23H2: Unbekannt.
Behoben in
- Windows 11 24H2, 25H2 und 26H2: kumulatives Update vom November 2026 (Build 10.0.26100.9974, 10.0.26200.9974 bzw. 10.0.26300.9974 oder neuer).
- Windows 11 26H1: Build 10.0.28000.3501 oder neuer.
- Gemeldet wird KB5132061 (SSU KB5132688) für Windows 11 24H2, 25H2 und 26H2; noch nicht gegen den MSRC-Eintrag bestätigt.
Umgehung
- Unbekannt. In den geprüften Quellen ist kein Workaround des Herstellers dokumentiert.
- Das Einspielen des Patches ist die verfügbare Massnahme.
Ausnutzung
- Ausnutzung in freier Wildbahn: für diese CVE nicht bekannt.
- Öffentlicher Proof-of-Concept: keiner bekannt.
- CISA SSVC: Ausnutzung keine, nicht automatisierbar, technische Auswirkung total.
- Nicht in der CISA-Liste known exploited vulnerabilities gefunden.
Unsere Empfehlung
- Das kumulative Update vom November 2026 auf allen Windows-11-Geräten mit 24H2, 25H2 und 26H2 sowie auf betroffenen Servern installieren. Den Build des kumulativen Updates prüfen, nicht nur die KB-Nummer.
- Arbeitsstationen und gemeinsam genutzte Mehrbenutzer-Endgeräte priorisieren, auf denen unsichere Software ausgeführt wird.
- Die Ausführung unsicherer Software einschränken und Benutzer bis zur Installation des Patches mit Standardkonten arbeiten lassen.
- Auf unerwartete Rechteänderungen und neue lokale Administratorkonten achten.
Angaben von Microsoft (Patch Tuesday November 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- MSRC Security Update Guide msrc.microsoft.com
- CVE.org record www.cve.org
- Third-party CVE summary (versions) www.strix.ai
- November 2026 Patch Tuesday, KB and exploitation status www.adminsignal.com
- November 2026 Patch Tuesday, exploited zero-day www.rescana.com
- BFS component context cybersecuritynews.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 07:38.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.