Microsoft Windows UDFS-Treiber: Use-after-free ermöglicht lokale Rechteausweitung

Zusammenfassung

Ein Use-after-free-Fehler (CWE-416) im Windows Universal Disk Format File System Driver (UDFS) erlaubt einem berechtigten lokalen Angreifer, seine Rechte zu erweitern. Der Angreifer benötigt ein gültiges lokales Konto und muss UDF-Volumes einhängen oder damit interagieren können. Eine erfolgreiche Ausnutzung kann zur vollständigen Kompromittierung des betroffenen Hosts führen, was vor allem auf Mehrbenutzersystemen, Terminal-Servern und Dateiservern relevant ist.

Betroffen

• Windows 10 Version 1607 (Build 10.0.14393.0 bis vor 10.0.14393.9612)
• Windows 10 Version 1809 (Build 10.0.17763.0 bis vor 10.0.17763.9376)
• Windows 10 Version 21H2 (Build 10.0.19044.0 bis vor 10.0.19044.7807)
• Windows 10 Version 22H2 (Build 10.0.19045.0 bis vor 10.0.19045.7807)
• Windows 11 Version 23H2 (Build 10.0.22631.0 bis vor 10.0.22631.7652)
• Windows 11 Version 24H2 (Build 10.0.26100.0 bis vor 10.0.26100.9711)
• Windows 11 Version 25H2 (Build 10.0.26200.0 bis vor 10.0.26200.9711)
• Windows 11 Version 26H1 (Build 10.0.28000.0 bis vor 10.0.28000.3231)
• Windows 11 Version 26H2 (Build 10.0.26300.0 bis vor 10.0.26300.9711)
• Windows Server 2012 und Server Core (Build 6.2.9200.0 bis vor 6.2.9200.26434)
• Windows Server 2012 R2 und Server Core (Build 6.3.9600.0 bis vor 6.3.9600.23470)
• Windows Server 2016 (Build 10.0.14393.0 bis vor 10.0.14393.9612)

Hinweis: Der NVD-CPE-Eintrag nennt nur Windows 10 1607; der CNA-Datensatz nennt die oben aufgeführten Produkte.

Behoben in

• Die Microsoft-Sicherheitsaktualisierung für jedes betroffene Produkt installieren. Die korrigierten Builds sind im Abschnitt Betroffene Versionen aufgeführt (zum Beispiel 10.0.14393.9612 für Windows 10 1607 und Windows Server 2016).
• Die KB-Nummer je Produkt ist in den Quellen nicht bestätigt. Sie ist im MSRC-Update-Guide für den jeweiligen Build zu entnehmen.

Umgehung

• Microsoft dokumentiert keine Workaround-Massnahme. Das Update ist die Behebung.
• Übergangslösung (nicht aus einer Herstellerquelle, reduziert nur die Exposition): lokale Anmelderechte einschränken und das Einhängen von Wechselmedien mit UDF (USB, optisch) per Richtlinie begrenzen, bis das Update installiert ist.

Ausnutzung

• Microsoft: nicht öffentlich bekannt gegeben, nicht ausgenutzt, Ausnutzbarkeitsbewertung 'Exploitation Less Likely'.
• Microsoft gibt an, dass kein öffentlich verfügbarer Exploit-Code existiert oder ein Exploit nur theoretisch ist.
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
• Nicht im CISA-KEV-Katalog aufgeführt. Es wurde kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Betroffene Windows-Systeme im regulären monatlichen Zyklus patchen, mit Priorität auf Mehrbenutzersysteme, Terminal-Server und Dateiserver.
• Alle betroffenen Builds im Inventar prüfen, einschliesslich Windows 10 1607 und Windows Server 2016, und Upgrades für nicht mehr unterstützte Systeme planen.
• Das Supportende von Windows 10 1607 (LTSB 2016) auf der Lifecycle-Seite von Microsoft prüfen; dies ist in den Quellen nicht bestätigt.
• Bis zum Patch lokale Konten einschränken und das Einhängen von Wechselmedien mit UDF begrenzen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-96947 msrc.microsoft.com
• Vulners: CVE-2026-96947 (CNA data) vulners.com
• OpenCVE: CVE-2026-96947 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 00:36.