Microsoft QUIC: Heap-basierter Pufferüberlauf ermöglicht Remote Code Execution

Zusammenfassung

Ein heap-basierter Pufferüberlauf in Microsoft QUIC, der Transportimplementierung unter Windows, .NET und Visual Studio, erlaubt einem nicht authentifizierten Angreifer, über das Netzwerk Code auszuführen. Es ist keine Benutzerinteraktion und kein Login nötig, die Auswirkungen werden mit einem CVSS-Wert von 9.8 als total (Vertraulichkeit, Integrität und Verfügbarkeit) eingestuft. Das Risiko hängt vor allem davon ab, ob Windows-Server oder .NET-Hosts mit QUIC- oder HTTP/3-Diensten aus unvertrauten Netzwerken erreichbar sind.

Betroffen

• Windows 11 Version 23H2 vor 10.0.22631.7652
• Windows 11 Version 24H2 vor 10.0.26100.9711
• Windows 11 Version 25H2 vor 10.0.26200.9711
• Windows 11 Version 26H1 vor 10.0.28000.3231
• Windows 11 Version 26H2 vor 10.0.26300.9711
• Windows Server 2022 vor 10.0.20348.5761
• Windows Server 2025 (inklusive Server Core) vor 10.0.26100.33650
• .NET 8.0 vor 8.0.32, .NET 9.0 vor 9.0.21, .NET 10.0 vor 10.0.14, .NET 11.0 vor 11.0.0-rc.2.26504.105
• Visual Studio 2022 Version 17.14 vor 17.14.42, Visual Studio 2026 Version 18.10 vor 18.10.4
• NuGet-Paket Microsoft.Native.Quic.MsQuic.Schannel: Der Bereich wird in den Quellen uneinheitlich angegeben, gemäss GitHub-Advisory GHSA-5gjq-3f94-rcf7 prüfen

Hinweis: Die Versionsliste stammt hauptsächlich von Drittanbieter-Aggregatoren und muss im MSRC-Advisory verifiziert werden.

Behoben in

• Die Sicherheitsupdates vom Oktober 2026 für Windows, .NET, Visual Studio und das NuGet-Paket installieren (die fixen Builds gemäss Abschnitt betroffene Versionen, auf MSRC zu verifizieren).
• Fixe Builds: Windows 11 23H2 10.0.22631.7652, 24H2 und 25H2 10.0.26100.9711 / 10.0.26200.9711, 26H1 10.0.28000.3231, 26H2 10.0.26300.9711, Windows Server 2022 10.0.20348.5761, Windows Server 2025 10.0.26100.33650.
• .NET 8.0.32, 9.0.21, 10.0.14, 11.0.0-rc.2.26504.105; Visual Studio 17.14.42 und 18.10.4; NuGet-Paket 2.5.11-ci.159417053 oder neuer.

Umgehung

• In den geprüften Quellen wurde kein Workaround des Herstellers gefunden. Das Einspielen des Patches ist die dokumentierte Behebung.
• Eigene Empfehlung, nicht aus einer Quelle: Wenn das Patchen verzögert wird, den eingehenden Verkehr auf UDP/443 auf das nötige Minimum beschränken und QUIC oder HTTP/3 auf Servern deaktivieren, die es nicht benötigen, nach Prüfung der Auswirkungen auf Anwendungen.

Ausnutzung

• Microsoft führt die Schwachstelle zum Zeitpunkt der Veröffentlichung als nicht ausgenutzt.
• In den geprüften Quellen wurde kein öffentlicher Proof-of-Concept-Exploit und keine bestätigte Ausnutzung in freier Wildbahn gefunden.
• CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung total. Der EPSS-Wert beträgt 1.7 Prozent.
• Rapid7 stuft die Ausnutzung als weniger wahrscheinlich ein; Action1 stuft den Patch als kritisch mit Verteilung am selben Tag ein.
• Der Status kann sich ändern; CISA KEV und Herstellerupdates erneut prüfen.

Unsere Empfehlung

• Windows-Server, Windows-Clients, .NET-Laufzeitumgebungen, Visual Studio und betroffene NuGet-Pakete am selben Tag patchen, zuerst die Internet-exponierten Server und .NET-Hosts.
• Genaue fixe Builds vor der Verteilung im MSRC-Advisory prüfen.
• Prüfen, welche Systeme QUIC- oder HTTP/3-Dienste betreiben, und eingehenden Verkehr auf UDP/443 auf die nötigen Quellen beschränken.
• Auf ungewöhnlichen UDP/443-Verkehr und Abstürze QUIC-naher Dienste achten.
• Die verwandte QUIC-Schwachstelle CVE-2026-100219 vom Oktober 2026 zusammen mit dieser bewerten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-105016 msrc.microsoft.com
• OpenCVE: CVE-2026-105016 app.opencve.io
• .NET announcement issue 446 github.com
• GitLab advisory: Microsoft.Native.Quic.MsQuic.Schannel advisories.gitlab.com
• Action1: Patch Tuesday October 2026 www.action1.com
• Rapid7: Patch Tuesday October 2026 www.rapid7.com
• Strix AI: CVE-2026-105016 www.strix.ai
• Talos: Microsoft Patch Tuesday October 2026 blog.talosintelligence.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 18:55.