Remote Desktop Gateway Service: Use-after-free ermöglicht Remote Code Execution

Zusammenfassung

Eine Use-after-free-Schwachstelle (CWE-416) im Remote Desktop Gateway Service von Windows erlaubt es einem nicht autorisierten Angreifer, über das Netzwerk Code auszuführen. Der CVSS-3.1-Basiswert ist 8.1 (Hoch); es sind keine Berechtigungen und keine Benutzerinteraktion nötig, die Angriffskomplexität ist jedoch hoch. Hauptrisiko ist ein Gateway mit Zugang aus dem Internet, während ein Server ohne die Rolle RD Gateway nicht betroffen ist.

Betroffen

• Windows 10 Version 1607: 10.0.14393.0 bis vor 10.0.14393.9612
• Windows 10 Version 1809: 10.0.17763.0 bis vor 10.0.17763.9376
• Windows 10 Version 21H2: 10.0.19044.0 bis vor 10.0.19044.7807
• Windows 10 Version 22H2: 10.0.19045.0 bis vor 10.0.19045.7807
• Windows 11 Version 23H2: 10.0.22631.0 bis vor 10.0.22631.7652
• Windows 11 Version 24H2: 10.0.26100.0 bis vor 10.0.26100.9711
• Windows 11 Version 25H2: 10.0.26200.0 bis vor 10.0.26200.9711
• Windows 11 Version 26H2: 10.0.26300.0 bis vor 10.0.26300.9711
• Windows Server 2012 (inklusive Server Core): 6.2.9200.0 bis vor 6.2.9200.26434
• Windows Server 2012 R2 (inklusive Server Core): 6.3.9600.0 bis vor 6.3.9600.23470
• Windows Server 2016 (inklusive Server Core): 10.0.14393.0 bis vor 10.0.14393.9612

Behoben in

• Windows 10 Version 1607 und Windows Server 2016: 10.0.14393.9612 oder neuer
• Windows 10 Version 1809: 10.0.17763.9376 oder neuer
• Windows 10 Version 21H2 und 22H2: 10.0.19044.7807 oder neuer (21H2) und 10.0.19045.7807 oder neuer (22H2)
• Windows 11 Version 23H2: 10.0.22631.7652 oder neuer
• Windows 11 Version 24H2, 25H2 und 26H2: 10.0.26100.9711, 10.0.26200.9711 und 10.0.26300.9711 oder neuer
• Windows Server 2012: 6.2.9200.26434 oder neuer
• Windows Server 2012 R2: 6.3.9600.23470 oder neuer

Umgehung

Unbekannt. Es wurde kein Workaround des Herstellers identifiziert. Das Sicherheitsupdate von Microsoft installieren.

Ausnutzung

• Die CISA-SSVC-Bewertung im CVE-Eintrag stuft die Ausnutzung als keine und die Automatisierbarkeit als nein ein.
• In den geprüften Quellen wurde weder ein öffentlicher Proof-of-Concept noch eine Ausnutzung in freier Wildbahn bestätigt.
• Die technische Auswirkung wird als total eingestuft.

Unsere Empfehlung

• Prüfen, ob auf einem Windows Server oder einem Windows-10-1607-Host die Rolle Remote Desktop Gateway installiert ist.
• Zuerst Gateways patchen, die aus dem Internet erreichbar sind, danach alle übrigen betroffenen Systeme, mit den oben genannten Builds.
• Vor dem Rollout die Fixed-Build-Version und die KB-Nummer im Microsoft Security Update Guide bestätigen.
• Den Zugriff auf den Gateway-Endpunkt auf benötigte Benutzer beschränken und ihn bis zum Patch auf ungewöhnliche Verbindungen überwachen.
• Die CISA-KEV-Liste und öffentliche Exploit-Quellen regelmässig prüfen, da sich der Ausnutzungsstatus rasch ändern kann.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-100218 msrc.microsoft.com
• CVE record (CVE List mirror on Vulners) vulners.com
• NVD record mirror on Vulners vulners.com
• Strix CVE summary www.strix.ai
• Zero Day Initiative: October 2026 security update review www.zerodayinitiative.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 19:42.