Windows Remote Desktop Client: Use-after-free ermöglicht Remote Code Execution

Zusammenfassung

Ein Use-after-free-Fehler (CWE-416) im Remote Desktop Client von Windows erlaubt einem nicht autorisierten Angreifer, über das Netzwerk Code auszuführen. Der CVSS-Vektor verlangt keine Berechtigungen, aber eine Benutzerinteraktion, sodass ein Benutzer eine Aktion ausführen muss, etwa die Verbindung zu einem manipulierten Host oder das Öffnen einer präparierten RDP-Datei. Der CNA-Eintrag nennt viele Windows-10-, Windows-11- und Serverversionen, die CPE-Angabe nur Windows 10 1607; der genaue Umfang muss daher anhand der MSRC-Build-Tabelle bestätigt werden.

Betroffen

• Windows 10 Version 1607 (CPE-Eintrag; CNA-Bereich 10.0.14393.0 bis < 10.0.14393.9612)
• Windows 10 Version 1809, 21H2, 22H2 sowie Windows 11 23H2, 24H2, 25H2, 26H1, 26H2 (Build-Bereiche siehe CNA-Eintrag)
• Windows Server 2012, 2012 R2 und 2016 (Build-Bereiche siehe CNA-Eintrag)
• Die Quellen widersprechen sich beim Umfang; auf dem MSRC-Advisory prüfen.

Behoben in

• Der CNA-Eintrag nennt obere Build-Grenzen je betroffenem Zweig, was auf korrigierte Builds hindeutet; diese sind in den geprüften Quellen nicht bestätigt.
• Für Build 14393 (Windows 10 1607) wurde kein Update vom Oktober 2026 (KB) gefunden.
• Windows 10 Enterprise LTSB 2016 (1607) hat das Ende der Updates am 13. Oktober 2026 erreicht. Der einzige Weg zu Updates sind kostenpflichtige Extended Security Updates (ESU); ob ein ESU-Build diese CVE abdeckt, ist nicht verifiziert.

Umgehung

• In den geprüften Quellen wurde kein Workaround von Microsoft gefunden.
• Nur Verbindungen zu vertrauenswürdigen RDP-Hosts herstellen und RDP-Dateien aus unbekannten Quellen nicht öffnen.
• Ausgehendes RDP (TCP 3389) aus Client-Netzwerken blockieren, sofern es nicht benötigt wird.
• Die Anzahl der Benutzer und Geräte mit dem Remote Desktop Client einschränken.

Ausnutzung

• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
• In den geprüften Quellen wurden kein öffentlicher Proof of Concept und keine Hinweise auf aktive Ausnutzung gefunden (CISA KEV nicht direkt geprüft).
• EPSS 0.00767 (niedrig).
• Tenable-Plugin-Seiten zeigen für die gesamte Advisory-Gruppe das Flag 'Exploit Available'; dies bestätigt keine Ausnutzung dieser CVE.

Unsere Empfehlung

• Alle Windows-10-1607-Geräte (LTSB 2016) und deren Nutzung des Remote Desktop Clients inventarisieren.
• Zwischen Migration auf Windows 11 Enterprise LTSC 2024 und dem Kauf von ESU entscheiden; ungepatchte 1607-Geräte erhalten keine weiteren Microsoft-Sicherheitsupdates.
• Für jedes Gerät die Build-Tabelle im MSRC-Advisory auf betroffene und korrigierte Builds prüfen.
• Die oben genannten Massnahmen auf Benutzer- und Netzwerkebene anwenden, bis die Geräte behoben sind.
• Benutzer für unerwartete RDP-Dateien und Links sensibilisieren.
• Auf ungewöhnliche ausgehende RDP-Verbindungen achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide: CVE-2026-103575 msrc.microsoft.com
• NVD mirror (Vulners): CVE-2026-103575 vulners.com
• Microsoft: Windows 10 1607 and Windows Server 2016 release health status learn.microsoft.com
• 4sysops: Windows 10 LTSB 2016 end of support and ESU 4sysops.com
• VulDB: vulnerability 418048 vuldb.com
• Tenable plugin 365473 www.tenable.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 19:24.