Microsoft Windows NTFS: Heap-Pufferüberlauf ermöglicht lokale Rechteausweitung

Zusammenfassung

Ein Heap-basierter Pufferüberlauf (CWE-122) im Dateisystem Windows NTFS ermöglicht einem berechtigten lokalen Angreifer eine Rechteausweitung. Der Angreifer benötigt ein gültiges Konto mit niedrigen Rechten auf dem System, und es ist keine Benutzerinteraktion erforderlich. Der CVSS-3.1-Basiswert beträgt 7.8 (Hoch), und die Schwachstelle kann nicht aus der Ferne ausgenutzt werden.

Betroffen

• Windows 10 Version 1607: 10.0.14393.0 bis unter 10.0.14393.9612
• Windows 10 Version 1809: 10.0.17763.0 bis unter 10.0.17763.9376
• Windows 10 Version 21H2: 10.0.19044.0 bis unter 10.0.19044.7807
• Windows 10 Version 22H2: 10.0.19045.0 bis unter 10.0.19045.7807
• Windows 11 Version 23H2: 10.0.22631.0 bis unter 10.0.22631.7652
• Windows 11 Version 24H2: 10.0.26100.0 bis unter 10.0.26100.9711
• Windows 11 Version 25H2: 10.0.26200.0 bis unter 10.0.26200.9711
• Windows 11 Version 26H1: 10.0.28000.0 bis unter 10.0.28000.3231
• Windows 11 Version 26H2: 10.0.26300.0 bis unter 10.0.26300.9711
• Windows Server 2012 und 2012 R2 (inklusive Server Core): Build-Nummern siehe MSRC-Seite
• Windows Server 2016: 10.0.14393.0 bis unter 10.0.14393.9612

Hinweis: Drittquellen widersprechen sich bei einzelnen Build-Nummern von Windows 11 und Server 2025. Die MSRC-Tabelle mit den Korrekturen prüfen.

Behoben in

Behoben im Sicherheitsupdate von Microsoft vom Oktober 2026. Die korrigierten Builds sind in der MSRC-Meldung aufgeführt (https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-96916).

• Windows 10 1809 / Server 2019: KB5126651 (von einer Drittquelle genannt)
• Windows 10 1607: KB-Nummer unbekannt; auf der MSRC-Seite nachschlagen

Umgehung

Unbekannt. Es wurde keine Workaround-Massnahme des Herstellers gefunden.

• Lokale Kontorechte einschränken und nicht benötigte lokale Administratorrechte entfernen.

Ausnutzung

• Es wurden keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
• CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
• Es wurde kein öffentlicher Proof of Concept gefunden.
• EPSS: unter 1 Prozent.
• Die Zero Day Initiative beschreibt verwandte Sandbox-Ausbrüche über Reparse Points; diese Einordnung ist enger als die Formulierung von MSRC.

Unsere Empfehlung

• Das kumulative Sicherheitsupdate von Microsoft vom Oktober 2026 auf allen betroffenen Systemen installieren, zuerst auf Mehrbenutzer-Dateiservern, Remote-Desktop-Hosts und gemeinsam genutzten Arbeitsstationen.
• Verbleibende Windows-10-1607-Clients identifizieren und aktualisieren, da diese Version nicht mehr unterstützt wird.
• Mitgliedschaften in der lokalen Administratorgruppe prüfen und nicht benötigte Konten entfernen.
• Auf verdächtige Rechteausweitungen über lokale Konten achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-96916 msrc.microsoft.com
• Vulners: CVE-2026-96916 vulners.com
• OpenCVE: CVE-2026-96916 app.opencve.io
• Zero Day Initiative: October 2026 Security Update Review www.zerodayinitiative.com
• VulDB: CVE-2026-96916 vuldb.com
• Strix: CVE-2026-96916 www.strix.ai
• Vulnrichment: CVE-2026-96916 vulners.com
• SonicWall: Microsoft security bulletin coverage for October 2026 www.sonicwall.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 00:45.