Microsoft Windows Message Queuing: Remote Code Execution durch Use-after-free

Zusammenfassung

Der Queue Manager von Windows Message Queuing (MSMQ) enthält in mehreren unterstützten Windows-Client- und Serverversionen eine Use-after-free-Schwachstelle (CWE-416). Ein nicht authentifizierter Angreifer mit Netzwerkzugriff auf den MSMQ-Dienst kann dadurch Code aus der Ferne ausführen; der CVSS-Basiswert beträgt 9.8 (kritisch). MSMQ ist standardmässig nicht installiert, daher hängt die Gefährdung davon ab, ob der Dienst installiert und über das Netzwerk erreichbar ist (standardmässig TCP/1801).

Betroffen

• Windows 10 Version 1607 und Windows Server 2016: 10.0.14393.0 bis vor 10.0.14393.9612
• Windows 10 Version 1809 und Windows Server 2019: 10.0.17763.0 bis vor 10.0.17763.9376
• Windows 10 Version 21H2 und 22H2: 10.0.19044.0 bis vor 10.0.19044.7807 und 10.0.19045.0 bis vor 10.0.19045.7807
• Windows 11 Version 23H2, 24H2, 25H2 und 26H1/26H2: genaue Build-Bereiche siehe MSRC-Advisory
• Windows Server 2012 und 2012 R2 (inklusive Server Core): 6.2.9200.0 bis vor 6.2.9200.26434 und 6.3.9600.0 bis vor 6.3.9600.23470

Behoben in

• Windows 10 Version 1607 / Server 2016: 10.0.14393.9612 oder neuer
• Windows Server 2012: 6.2.9200.26434 oder neuer
• Windows Server 2012 R2: 6.3.9600.23470 oder neuer
• Andere Versionen: Sicherheitsupdate vom 13. Oktober 2026 (Build-Nummern siehe MSRC)
• Nach der Installation ist ein Neustart erforderlich

Umgehung

• MSMQ-Dienst bzw. das Windows-Feature MSMQ-Server auf Hosts deaktivieren, die es nicht benötigen, nach Prüfung der Anwendungsabhängigkeiten
• TCP/1801 an der Perimeter-Firewall und zwischen Netzwerksegmenten blockieren, in denen MSMQ weiterhin benötigt wird

Ausnutzung

• Microsoft stuft die Ausnutzung als weniger wahrscheinlich ein und gibt an, dass die Schwachstelle nicht öffentlich bekannt gemacht oder ausgenutzt wurde.
• In den Quellen wurde kein öffentlicher Proof-of-Concept-Code gefunden.
• Die Quellen widersprechen sich, ob die CVE im CISA-KEV-Katalog geführt wird; dies ist ungeklärt und muss direkt im Katalog geprüft werden.
• CISA SSVC bewertet die Ausnutzung als automatisierbar, und es ist keine Authentifizierung erforderlich.

Unsere Empfehlung

• Hosts mit installiertem MSMQ prioritär patchen; alle anderen betroffenen Windows-Systeme im regulären Zyklus aktualisieren.
• Hosts identifizieren, auf denen der MSMQ-Dienst oder das Feature läuft, und prüfen, ob Altanwendungen davon abhängen.
• MSMQ dort deaktivieren, wo er nicht benötigt wird, und TCP/1801 aus nicht vertrauenswürdigen Netzen blockieren.
• Betroffene Build-Nummern anhand der MSRC-Versionstabelle prüfen und den Lifecycle- bzw. ESU-Status von Windows 10 1607 klären.
• Auf ungewöhnlichen MSMQ-Verkehr achten und den KEV-Status laufend überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-100202 msrc.microsoft.com
• Microsoft MSRC Advisory CVE-2026-100202 msrc.microsoft.com
• Action1: Patch Tuesday October 2026 www.action1.com
• CCB Belgium: Microsoft Patch Tuesday October 2026 warning ccb.belgium.be
• CrowdStrike: Patch Tuesday analysis October 2026 www.crowdstrike.com
• Zero Day Initiative: October 2026 security update review www.zerodayinitiative.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 19:01.