CVE-2026-33825HighCVSS: 7.8CVE-2026-33825: Lokale Privilegienausweitung in Microsoft Defender
Eine als 'BlueHammer' bekannte Schwachstelle in der Microsoft Defender Antimalware Platform erlaubt einem authentifizierten lokalen Angreifer die Ausweitung von Privilegien auf SYSTEM-Ebene. Die Sicherheitslücke (CVSS 7.8, High) wird bereits aktiv ausgenutzt und ein öffentlicher Proof-of-Concept-Exploit ist verfügbar. Ein Update auf Version 4.18.26030.3011 schliesst die Lücke.
METADATEN
- Entdeckt:
- 14.04.2026
- Patch verfügbar:
- Ja
BETROFFENE SYSTEME
- •Microsoft Defender Antimalware Platform 4.0.0.0 – 4.18.26030.3010
- •Windows 10 (alle Versionen mit Cloud Filter Treiber cldflt.sys)
- •Windows 11 (alle unterstützten Versionen)
- •Windows Server 2019 / 2022 / 2025
Zusammenfassung
CVE-2026-33825 (“BlueHammer”) betrifft die Microsoft Defender Antimalware Platform und ermöglicht einem lokal authentifizierten Angreifer die Eskalation von Privilegien bis hin zu SYSTEM. Die Schwachstelle liegt in der unzureichenden Granularität der Zugriffskontrolle (CWE-1220) im Cloud Filter Treiber cldflt.sys, genauer in der HsmOsBlockPlaceholderAccess-Routine. Es handelt sich um einen unvollständigen Patch von CVE-2020-17103, der von Google Project Zero Forscher James Forshaw gemeldet wurde.
CISA hat die Schwachstelle in den Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgenommen. Ein öffentlicher Proof-of-Concept-Exploit inklusive kompilierter ausführbarer Datei wurde auf GitHub veröffentlicht, wodurch keine Entwicklungskenntnisse zur Ausnutzung erforderlich sind.
Technische Details
Die Schwachstelle befindet sich im Windows Cloud Filter Treiber cldflt.sys, der die Dateisystem-Synchronisationsinfrastruktur für OneDrive, SharePoint und andere Cloud-Speicherdienste bereitstellt. Der Treiber ist auf allen modernen Windows-Versionen (Windows 10, Windows 11, Windows Server) standardmässig vorhanden.
Der ursprüngliche Fehler (CVE-2020-17103) war ein Heap-basierter Pufferüberlauf in derselben Routine, der im Dezember 2020 von Microsoft gepatcht wurde. Der als “Chaotic Eclipse” bekannte Forscher entdeckte, dass der Patch unvollständig war – ein alternativer Exploitation-Pfad durch dieselbe Routine ermöglicht weiterhin die Privilegienausweitung.
CVSS v3.1 Vektor: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
| Metrik | Wert |
|---|---|
| Angriffsvektor | Lokal (AV:L) |
| Angriffskomplexität | Niedrig (AC:L) |
| Benötigte Privilegien | Niedrig (PR:L) |
| Benutzerinteraktion | Keine (UI:N) |
| Auswirkung Vertraulichkeit | Hoch (C:H) |
| Auswirkung Integrität | Hoch (I:H) |
| Auswirkung Verfügbarkeit | Hoch (A:H) |
Betroffene Systeme
- Microsoft Defender Antimalware Platform 4.0.0.0 bis 4.18.26030.3010
- Windows 10 (alle Versionen mit Cloud Filter Treiber)
- Windows 11 (alle unterstützten Versionen)
- Windows Server 2019 / 2022 / 2025
Empfehlungen und Massnahmen
- Sofortmassnahme: Aktualisieren Sie die Microsoft Defender Antimalware Platform auf Version 4.18.26030.3011 oder höher. Das Update wird über Windows Update bzw. Microsoft Update Katalog bereitgestellt.
- Zugriffskontrolle: Beschränken Sie interaktive Logins und Codeausführung auf Windows-Systemen auf vertrauenswürdige Benutzer.
- Überwachung: Überwachen Sie Windows-Ereignis-ID 4672 (besondere Privilegien bei neuer Anmeldung) und 4688 (Prozesserstellung) auf unerwartete SYSTEM-Prozesse.
- Applikationskontrolle: Setzen Sie WDAC (Windows Defender Application Control) oder AppLocker ein, um die Ausführung unbekannter Binärdateien zu blockieren.
- Patch-Frist: Gemäss CISA BOD 22-01 müssen Massnahmen bis zum 06. Mai 2026 umgesetzt sein.