CVE-2026-27917: Privilege Escalation in Windows WFP Driver
Platform
windows
Component
wfplwfs
Opgelost in
10.0.28000.1836
CVE-2026-27917 beschrijft een use-after-free kwetsbaarheid in de Windows WFP NDIS Lightweight Filter Driver (wfplwfs.sys). Deze kwetsbaarheid stelt een geautoriseerde aanvaller in staat om lokaal privileges te escaleren. De kwetsbaarheid treft Windows-systemen met versies ≤10.0.28000.1836. Een patch is beschikbaar in versie 10.0.28000.1836.
Impact en Aanvalsscenarios
Een succesvolle exploitatie van CVE-2026-27917 kan een aanvaller in staat stellen om lokaal privileges te escaleren. Dit betekent dat een gebruiker met beperkte rechten de controle over het systeem kan overnemen en toegang kan krijgen tot gevoelige gegevens en bronnen. De impact is aanzienlijk, omdat het de integriteit en vertrouwelijkheid van het systeem in gevaar brengt. Afhankelijk van de configuratie van het systeem, kan de aanvaller ook toegang krijgen tot andere systemen in hetzelfde netwerk, wat de blast radius vergroot. Hoewel er momenteel geen publieke exploits beschikbaar zijn, is de use-after-free aard van de kwetsbaarheid zorgwekkend, aangezien deze vaak misbruikt worden door geavanceerde aanvallers.
Uitbuitingscontext
CVE-2026-27917 is gepubliceerd op 2026-04-14. De kwetsbaarheid heeft een CVSS score van 7 (HIGH), wat duidt op een significant risico. Er zijn momenteel geen publieke proof-of-concept exploits bekend, maar de use-after-free aard van de kwetsbaarheid maakt het een aantrekkelijk doelwit voor aanvallers. De kwetsbaarheid is opgenomen in de CISA Known Exploited Vulnerabilities (KEV) catalogus, wat de urgentie van patching onderstreept. De EPSS score is momenteel niet bekend.
Dreigingsinformatie
Exploit Status
EPSS
0.04% (14% percentiel)
CVSS-vector
Wat betekenen deze metrics?
- Attack Vector
- Lokaal — aanvaller heeft een lokale sessie of shell op het systeem nodig.
- Attack Complexity
- Hoog — vereist een race condition, niet-standaard configuratie of specifieke omstandigheden.
- Privileges Required
- Laag — elk geldig gebruikersaccount is voldoende.
- User Interaction
- Geen — automatische en stille aanval. Slachtoffer doet niets.
- Scope
- Ongewijzigd — impact beperkt tot het kwetsbare component.
- Confidentiality
- Hoog — volledig verlies van vertrouwelijkheid. Aanvaller kan alle gegevens lezen.
- Integrity
- Hoog — aanvaller kan alle gegevens schrijven, aanpassen of verwijderen.
- Availability
- Hoog — volledige crash of uitputting van resources. Totale denial of service.
Getroffen Software
Zwakheidsclassificatie (CWE)
Tijdlijn
- Gepubliceerd
- Gewijzigd
- EPSS bijgewerkt
Mitigatie en Workarounds
De primaire mitigatie voor CVE-2026-27917 is het toepassen van de beveiligingsupdate die beschikbaar is in versie 10.0.28000.1836. Indien een directe upgrade niet mogelijk is, overweeg dan het implementeren van tijdelijke maatregelen zoals het beperken van de rechten van gebruikersaccounts en het monitoren van systeemlogboeken op verdachte activiteiten. Het is belangrijk om te benadrukken dat deze workarounds geen volledige bescherming bieden en het toepassen van de patch de voorkeur verdient. Na de upgrade, bevestig de correcte werking van de WFP-filters en controleer de systeemlogboeken op eventuele foutmeldingen.
Hoe te verhelpenwordt vertaald…
Aplica las actualizaciones de seguridad proporcionadas por Microsoft para Windows 10. Estas actualizaciones corrigen la vulnerabilidad de uso después de liberar en el controlador WFP NDIS Lightweight Filter Driver, previniendo la posible elevación de privilegios.
Veelgestelde vragen
Wat is CVE-2026-27917 — Privilege Escalation in Windows WFP Driver?
CVE-2026-27917 is een use-after-free kwetsbaarheid in de Windows WFP NDIS Lightweight Filter Driver (wfplwfs.sys) die een aanvaller in staat stelt om lokaal privileges te escaleren.
Am I affected by CVE-2026-27917 in Windows WFP Driver?
Ja, als u een Windows-systeem gebruikt met versie ≤10.0.28000.1836, dan bent u mogelijk kwetsbaar voor deze kwetsbaarheid.
How do I fix CVE-2026-27917 in Windows WFP Driver?
De kwetsbaarheid is verholpen in versie 10.0.28000.1836. Pas de beveiligingsupdate toe om de kwetsbaarheid te verhelpen.
Is CVE-2026-27917 being actively exploited?
Er zijn momenteel geen publieke exploits bekend, maar de use-after-free aard van de kwetsbaarheid maakt het een aantrekkelijk doelwit voor aanvallers.
Where can I find the official Microsoft advisory for CVE-2026-27917?
De officiële Microsoft advisory voor CVE-2026-27917 is te vinden op de Microsoft Security Response Center website (zoek naar CVE-2026-27917).
Is jouw project getroffen?
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.
Probeer het nu — geen account
Upload een manifest (composer.lock, package-lock.json, WordPress pluginlijst…) of plak uw componentenlijst. U ontvangt direct een kwetsbaarheidsrapport. Een bestand uploaden is slechts het begin: met een account krijgt u continue monitoring, Slack/e-mail alerts, multi-project en white-label rapporten.
Sleep uw afhankelijkheidsbestand hierheen
composer.lock, package-lock.json, requirements.txt, Gemfile.lock, pubspec.lock, Dockerfile...