Windows EFS: Use after free ermöglicht lokale Rechteerweiterung

Zusammenfassung

Eine Use-after-free-Schwachstelle im Windows Encrypting File System (EFS) erlaubt einem Angreifer mit einem lokalen Konto mit niedrigen Rechten, seine Privilegien zu erweitern. Die Angriffskomplexität ist hoch, und es ist keine Benutzerinteraktion nötig. Eine erfolgreiche Ausnutzung könnte zu einer vollständigen Kompromittierung von Vertraulichkeit, Integrität und Verfügbarkeit des betroffenen Systems führen.

Betroffen

• Windows 10 Version 1809 (10.0.17763.0 vor 10.0.17763.9487)
• Windows 10 Version 21H2 (10.0.19044.0 vor 10.0.19044.7846)
• Windows 10 Version 22H2 (10.0.19045.0 vor 10.0.19045.7846)
• Windows 11 Version 23H2 (10.0.22631.0 vor 10.0.22631.7711)
• Windows 11 Version 24H2 (10.0.26100.0 vor 10.0.26100.9974)
• Windows 11 Version 25H2 (10.0.26200.0 vor 10.0.26200.9974)
• Windows 11 Version 26H1 (10.0.28000.0 vor 10.0.28000.3501)
• Windows 11 Version 26H2 (10.0.26300.0 vor 10.0.26300.9974)
• Windows Server 2019, inklusive Server Core (10.0.17763.0 vor 10.0.17763.9487)
• Windows Server 2022 (10.0.20348.0 vor 10.0.20348.5870)
• Windows Server 2025, inklusive Server Core (10.0.26100.0 vor 10.0.26100.33822)

Behoben in

• Installieren Sie das aktuelle Windows-Sicherheitsupdate für Ihre Version. Behobene Builds gemäss CVE-Eintrag: 10.0.17763.9487 (1809 und Server 2019), 10.0.19044.7846 (21H2), 10.0.19045.7846 (22H2), 10.0.22631.7711 (23H2), 10.0.26100.9974 (24H2), 10.0.26200.9974 (25H2), 10.0.28000.3501 (26H1), 10.0.26300.9974 (26H2), 10.0.20348.5870 (Server 2022), 10.0.26100.33822 (Server 2025)
• Die Build-Nummern sollten im Microsoft-Advisory bestätigt werden, da die KB-Nummern unbekannt sind.

Umgehung

Unbekannt.

• Es wurde keine vom Hersteller veröffentlichte Massnahme identifiziert. Die Installation des Sicherheitsupdates ist die Behebung.

Ausnutzung

• Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
• Ein Aggregator gibt an, dass keine Ausnutzung bekannt ist.
• CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
• Kein öffentlicher Proof of Concept gefunden.
• Im CISA-KEV-Katalog nicht gefunden (nicht direkt überprüft).

Unsere Empfehlung

• Installieren Sie das Windows-Sicherheitsupdate auf allen betroffenen Arbeitsstationen und Servern im regulären monatlichen Zyklus.
• Priorisieren Sie gemeinsam genutzte Arbeitsstationen, Terminalserver und Systeme, die EFS-verschlüsselte Daten speichern.
• Prüfen Sie, ob EFS in Ihrer Umgebung verwendet wird.
• Beschränken Sie lokale Konten und überprüfen Sie, wer lokale Anmelderechte besitzt.
• Überwachen Sie Indikatoren für Rechteerweiterung und prüfen Sie in einigen Tagen erneut den CISA-KEV-Katalog und das Microsoft-Advisory.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE Record CVE-2026-96973 www.cve.org
• Microsoft Security Update Guide CVE-2026-96973 msrc.microsoft.com
• OffSeq Radar CVE-2026-96973 radar.offseq.com
• Strix CVE-2026-96973 (third-party, unverified) www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 07:33.