Windows Deployment Services: Remote Code Execution (Heap-Überlauf)

Zusammenfassung

Ein heap-basierter Pufferüberlauf in Windows Deployment Services (WDS) erlaubt einem berechtigten Angreifer, über das Netzwerk Code auszuführen. Die Angriffskomplexität ist hoch und der Angreifer benötigt niedrige Privilegien, daher sind ein gültiges Domänenkonto oder ein Zugriff auf das interne Netzwerk nötig. Der CVSS-3.1-Basiswert beträgt 7.5 (AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H). Die Quellen widersprechen sich bei den betroffenen und behobenen Versionen, und eine Sekundärquelle beschreibt eine verwandte Schwachstelle als nicht authentifiziert; die Herstellerangaben müssen daher vor einer Entscheidung geprüft werden.

Betroffen

• Windows 10 Version 1607 (10.0.14393.0 bis vor 10.0.14393.9688)
• Windows 10 Version 1809 (10.0.17763.0 bis vor 10.0.17763.9487)
• Windows 10 Version 21H2 (10.0.19044.0 bis vor 10.0.19044.7846)
• Windows 10 Version 22H2 (10.0.19045.0 bis vor 10.0.19045.7846)
• Windows 11 Version 23H2 (10.0.22631.0 bis vor 10.0.22631.7711)
• Windows 11 Version 24H2 (10.0.26100.0 bis vor 10.0.26100.9974)
• Windows 11 Version 25H2 (10.0.26200.0 bis vor 10.0.26200.9974)
• Windows 11 Version 26H1 (10.0.28000.0 bis vor 10.0.28000.3501)
• Windows 11 Version 26H2 (10.0.26300.0 bis vor 10.0.26300.9974)
• Windows Server 2016 und Server-Core-Installation (10.0.14393.0 bis vor 10.0.14393.9688)
• Windows Server 2019 und Server-Core-Installation (10.0.17763.0 bis vor 10.0.17763.9487)
• Windows Server 2022 (10.0.20348.0 bis vor 10.0.20348.5870)
• Windows Server 2025: Unbekannt (nicht im offiziellen CVE-Eintrag aufgeführt; siehe behoben)

Behoben in

• Windows 10 Version 1809 und Windows Server 2019: Build 10.0.17763.9487 (KB5131085)
• Windows 10 Version 21H2: Build 10.0.19044.7846 (KB5131096, Sekundärquelle)
• Windows 10 Version 22H2: Build 10.0.19045.7846 (KB5131096, Sekundärquelle)
• Windows Server 2025: Build 10.0.26100.33822 (KB5131080). Unbekannt, ob dies die Behebung für diese CVE ist.
• Windows 10 Version 1607 und Windows Server 2016: Unbekannt
• Weitere aufgeführte Versionen: Die behobenen Builds im offiziellen Eintrag gelten, Abgleich mit MSRC erforderlich

Umgehung

Unbekannt. In den geprüften Quellen wurde kein Workaround des Herstellers gefunden.

Ausnutzung

• CISA SSVC: Exploitation none, Automatable no, Technical Impact total
• Microsoft-Temporalvektor: E:U (bei Veröffentlichung kein öffentlicher Exploit-Code) und RC:C
• Keine öffentlichen Proof-of-Concept- oder Ausnutzungsberichte zu dieser CVE gefunden
• Rapid7 meldet eine aktiv ausgenutzte Schwachstelle im Patch-Paket vom November 2026, ohne sie zu nennen; ob es sich um diese CVE handelt, ist unbekannt

Unsere Empfehlung

• WDS-Server identifizieren, zum Beispiel mit Get-WindowsFeature WDS-Deployment, und prüfen, ob PXE/WDS noch benötigt wird.
• Die Sicherheitsupdates vom November 2026 auf allen betroffenen WDS-Servern prioritär installieren.
• Bis zur Behebung WDS auf ein Management-VLAN beschränken und den Zugriff einschränken.
• Im MSRC-Advisory den exakten Fix-Build für die eigene Version prüfen, da die Quellen sich widersprechen und die verwandte CVE-2026-119951 als nicht authentifiziert beschrieben wird.
• WDS-Server auf ungewöhnliche Aktivitäten überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide: CVE-2026-105558 msrc.microsoft.com
• CVE.org record CVE-2026-105558 www.cve.org
• Microsoft KB5131085 (Windows 10 1809 / Server 2019) support.microsoft.com
• Microsoft KB5131080 (Windows Server 2025) support.microsoft.com
• Pureinfotech: KB5131096 (Windows 10 ESU, secondary source) pureinfotech.com
• Rapid7: Patch Tuesday November 2026 www.rapid7.com
• Qualys: Patch Tuesday November 2026 review blog.qualys.com
• Strix.ai: CVE-2026-105558 (third-party tracker) www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 06:09.