Microsoft QUIC: Umgehung einer Sicherheitsfunktion durch unsichere Standardinitialisierung

Zusammenfassung

Microsoft QUIC, das Transportprotokoll von HTTP/3 und Windows-Diensten wie IIS und SMB over QUIC, initialisiert eine interne Variable standardmässig mit einem unsicheren Wert (CWE-453). Ein entfernter, nicht authentifizierter Angreifer kann über das Netzwerk ohne Benutzerinteraktion eine Sicherheitsfunktion umgehen. Die Angriffskomplexität ist hoch, der Scope ändert sich, und die Auswirkungen betreffen hauptsächlich die Verfügbarkeit mit einer begrenzten Beeinträchtigung der Integrität.

Betroffen

• Windows 11 Version 23H2 (x64 und ARM64): 10.0.22631.0 bis unter 10.0.22631.7652
• Windows 11 Version 24H2: 10.0.26100.0 bis unter 10.0.26100.9711
• Windows 11 Version 25H2: 10.0.26200.0 bis unter 10.0.26200.9711
• Windows 11 Version 26H1: 10.0.28000.0 bis unter 10.0.28000.3231
• Windows 11 Version 26H2: 10.0.26300.0 bis unter 10.0.26300.9711
• Windows Server 2022: 10.0.20348.0 bis unter 10.0.20348.5761
• Windows Server 2025 (inklusive Server-Core-Installation): 10.0.26100.0 bis unter 10.0.26100.33650

Behoben in

• Windows 11 23H2: Build 10.0.22631.7652 (KB5126653, gemäss Spiegelungen von Drittquellen; eine Quelle zeigt einen Tippfehler, auf MSRC prüfen)
• Windows 11 24H2: Build 10.0.26100.9711
• Windows 11 25H2: Build 10.0.26200.9711
• Windows 11 26H1: Build 10.0.28000.3231
• Windows 11 26H2: Build 10.0.26300.9711
• Windows Server 2022: Build 10.0.20348.5761
• Windows Server 2025: Build 10.0.26100.33650
• Die Build-Nummern sind provisorisch, bis sie im MSRC Security Update Guide bestätigt sind.

Umgehung

Unbekannt.

Ausnutzung

• Keine Ausnutzung in freier Wildbahn bekannt.
• Kein öffentlicher Proof of Concept gefunden.
• CISA SSVC: Ausnutzung keine, nicht automatisierbar, partielle technische Auswirkung.
• EPSS etwa 0,5 Prozent.

Unsere Empfehlung

• Das kumulative Update vom Oktober 2026 auf betroffenen Windows-11- und Windows-Server-Systemen installieren, mit Priorität für Server und aus dem Internet erreichbare Hosts.
• Die Build-Nummern vor dem Rollout im MSRC Security Update Guide bestätigen.
• Prüfen, ob HTTP/3, IIS oder SMB over QUIC verwendet wird; falls nicht benötigt, eingehenden UDP-443-Verkehr an der Perimeter-Firewall einschränken.
• Die Migration von Windows 11 23H2 auf eine unterstützte Version planen, da der Support für die Editionen Enterprise und Education voraussichtlich im November 2026 endet.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide (CVE-2026-103577) msrc.microsoft.com
• NVD mirror (vulners) vulners.com
• CVE/CNA record (vulners) vulners.com
• Strix CVE summary www.strix.ai
• EUVD mirror (vulners) vulners.com
• CWE-453 description (CVEdetails) www.cvedetails.com
• Threat intelligence aggregator cve.imfht.com
• Patch Tuesday coverage (Zecurit) zecurit.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 19:38.