Microsoft Windows QUIC: Remote Code Execution durch Use-after-free

Zusammenfassung

Ein Use-after-free-Fehler im Microsoft-QUIC-Transport von Windows 11 und Windows Server erlaubt einem nicht authentifizierten Angreifer aus dem Netzwerk, Code auszuführen. Dafür genügt es, einem betroffenen Dienst, der QUIC verwendet, manipulierten Netzwerkverkehr zu senden. Der CVSS-Basiswert beträgt 9.8 (kritisch), das Risiko hängt jedoch davon ab, ob QUIC-Dienste (UDP 443) aktiviert und aus unvertrauenswürdigen Netzen erreichbar sind.

Betroffen

• Windows 11 Version 23H2 (10.0.22631.0 bis unter 10.0.22631.7652)
• Windows 11 Version 24H2 (10.0.26100.0 bis unter 10.0.26100.9711)
• Windows 11 Version 25H2 (10.0.26200.0 bis unter 10.0.26200.9711)
• Windows 11 Version 26H1 (10.0.28000.0 bis unter 10.0.28000.3231)
• Windows 11 Version 26H2 (10.0.26300.0 bis unter 10.0.26300.9711)
• Windows Server 2022 (10.0.20348.0 bis unter 10.0.20348.5761)
• Windows Server 2025 inklusive Server Core (10.0.26100.0 bis unter 10.0.26100.33650)

Behoben in

• Sicherheitsupdate von Microsoft vom Oktober 2026 (Patch Tuesday, 13. Oktober 2026)
• Behobene Builds gemäss CNA-Eintrag: 10.0.22631.7652, 10.0.26100.9711, 10.0.26200.9711, 10.0.28000.3231, 10.0.26300.9711, 10.0.20348.5761 und 10.0.26100.33650 (Server 2025)
• Nach der Installation ist ein Neustart erforderlich

Umgehung

Unbekannt. Es wurde keine vom Hersteller dokumentierte Workaround-Massnahme gefunden.

• Nicht aus einer Quelle, eigener Vorschlag: Wenn ein Host QUIC nicht benötigt, eingehenden UDP-443-Verkehr an der Perimetergrenze blockieren, bis gepatcht wurde. Vorher prüfen, dass HTTP/3 und andere benötigte Dienste nicht betroffen sind.

Ausnutzung

• CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung total.
• MSRC-Temporalvektor E:U (Reifegrad des Exploit-Codes unbewiesen).
• Das belgische CCB meldet keine öffentliche Offenlegung und keine bekannte Ausnutzung.
• Kein öffentlicher Proof-of-Concept gefunden.
• Ein Tenable-Plugin meldet einen verfügbaren Exploit, die Beschreibung ist jedoch widersprüchlich; nicht bestätigt.

Unsere Empfehlung

• Das Oktober-2026-Sammelupdate auf allen aufgeführten Windows-11- und Windows-Server-Hosts installieren, zuerst auf den aus dem Internet erreichbaren Servern.
• Die behobenen Build-Nummern je Betriebssystemversion vor dem Rollout in der MSRC-Produkttabelle prüfen.
• Hosts identifizieren, die auf UDP 443 lauschen oder QUIC-basierte Dienste betreiben, und deren Exposition einschränken.
• MSRC und CISA KEV auf Änderungen des Ausnutzungsstatus und auf öffentlichen Proof-of-Concept-Code überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-100219 msrc.microsoft.com
• Microsoft MSRC advisory CVE-2026-100219 msrc.microsoft.com
• CCB Belgium advisory on October 2026 Patch Tuesday ccb.belgium.be
• Action1: Patch Tuesday October 2026 www.action1.com
• Vicarius: Microsoft October 2026 Patch Tuesday www.vicarius.io
• Strix: CVE-2026-100219 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 18:57.