Microsoft Windows Failover Cluster Virtual Driver: Remote Code Execution

Zusammenfassung

Ein Double Free im Microsoft Failover Cluster Virtual Driver von Windows 10 und Windows Server erlaubt einem nicht authentifizierten Angreifer aus dem Netzwerk, Code auszuführen, indem er einen speziell präparierten Paketen an einen betroffenen Dienst sendet. Failover Clustering wird normalerweise intern eingesetzt, daher ist das Risiko für Cluster-Knoten und für jeden über das Netzwerk erreichbaren Cluster-Dienst am höchsten. Microsoft bewertet die Schwachstelle mit einem CVSS-Basiswert von 9.8 (kritisch), während das Herstellerlabel Important lautet.

Betroffen

• Windows 10 Version 1607 (10.0.14393.0 bis unter 10.0.14393.9612)
• Windows 10 Version 1809 (10.0.17763.0 bis unter 10.0.17763.9376)
• Windows Server 2012, inklusive Server Core (6.2.9200.0 bis unter 6.2.9200.26434)
• Windows Server 2012 R2, inklusive Server Core (6.3.9600.0 bis unter 6.3.9600.23470)
• Windows Server 2016, inklusive Server Core (10.0.14393.0 bis unter 10.0.14393.9612)
• Windows Server 2019, inklusive Server Core (10.0.17763.0 bis unter 10.0.17763.9376)
• Windows Server 2022 (10.0.20348.0 bis unter 10.0.20348.5761)
• Windows Server 2025, inklusive Server Core (10.0.26100.0 bis unter 10.0.26100.33650)

Behoben in

• Installieren Sie das Microsoft-Sicherheitsupdate für jedes betroffene Produkt aus dem MSRC-Advisory. Die ersten korrigierten Builds pro Produkt laut CNA-Eintrag sind 10.0.14393.9612 (Windows 10 1607 und Server 2016), 10.0.17763.9376 (Windows 10 1809 und Server 2019), 6.2.9200.26434 (Server 2012), 6.3.9600.23470 (Server 2012 R2), 10.0.20348.5761 (Server 2022) und 10.0.26100.33650 (Server 2025).
• Bestätigen Sie den genauen KB-Artikel für jedes Produkt in der Tabelle Security Updates des MSRC-Advisory. Unbekannt.

Umgehung

Unbekannt. In den Quellen wurde kein CVE-spezifischer Workaround gefunden. Temporäre Massnahmen, die nicht vom Hersteller stammen:

• Beschränken Sie den Netzwerkzugriff auf Cluster-Dienste sowie SMB- und RPC-Ports auf Cluster-Knoten und Management-Hosts.
• Überwachen Sie die Aktivität des Cluster-Treibers und die zugehörigen Logs.

Ausnutzung

• Kein öffentlicher Proof-of-Concept-Exploit gefunden; dies ist kein Beweis, dass keiner existiert.
• Keine Ausnutzung in freier Wildbahn bekannt.
• Nicht im KEV-Katalog der CISA aufgeführt.
• CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung total.
• Rapid7 bewertet die Schwachstelle als Exploitation Unlikely; der EPSS-Wert liegt unter 1 Prozent.
• Microsoft-Temporalvektor: E:U (Unproven).

Unsere Empfehlung

• Erfassen Sie alle Windows-10-1607/1809- und Windows-Server-2012- bis 2025-Systeme, zuerst die Cluster-Knoten.
• Installieren Sie das MSRC-Update für jedes Produkt prioritär und prüfen Sie danach die Build-Nummern.
• Falls das Patchen verzögert wird, beschränken Sie die Netzwerkerreichbarkeit der Cluster-Dienste und überwachen Sie die Logs.
• Prüfen Sie die Firewall-Regeln, um sicherzustellen, dass kein Cluster-Dienst im Internet veröffentlicht ist.
• Prüfen Sie NVD, den CISA-KEV-Katalog und öffentliche PoC-Quellen regelmässig, bis die Ausnutzungslage klar ist.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide: CVE-2026-96864 msrc.microsoft.com
• Vulners: CNA record CVE-2026-96864 vulners.com
• OpenCVE: CVE-2026-96864 app.opencve.io
• Strix: CVE-2026-96864 www.strix.ai
• Vulners VulnCheck/CISA enrichment: CVE-2026-96864 vulners.com
• Rapid7: Patch Tuesday October 2026 www.rapid7.com
• Zero Day Initiative: October 2026 Security Update Review www.zerodayinitiative.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 18:16.