Windows Secure Socket Tunneling Protocol: Denial of Service

Zusammenfassung

Eine Schwachstelle durch unkontrollierten Ressourcenverbrauch (CWE-401) im Windows Secure Socket Tunneling Protocol (SSTP) erlaubt einem nicht authentifizierten Angreifer aus dem Netzwerk, Ressourcen zu erschöpfen und einen Dienstausfall auszulösen. Für den Angriff genügt Netzwerkzugriff, es sind keine Berechtigungen und keine Benutzerinteraktion nötig, und die Auswirkung beschränkt sich auf die Verfügbarkeit. Betroffen sind Organisationen mit Windows-SSTP-VPN-Endpunkten, typischerweise RRAS oder Always On VPN auf Windows Server.

Betroffen

• Windows 10 Version 1607 und Windows Server 2016 (inklusive Server Core): Builds 10.0.14393.0 bis vor 10.0.14393.9688
• Windows 10 Version 1809 und Windows Server 2019 (inklusive Server Core): Builds 10.0.17763.0 bis vor 10.0.17763.9487
• Windows 10 Version 21H2 und 22H2: Builds 10.0.19044.0 bis vor 10.0.19044.7846 sowie 10.0.19045.0 bis vor 10.0.19045.7846
• Windows 11 Version 23H2: Builds 10.0.22631.0 bis vor 10.0.22631.7711
• Windows 11 Version 24H2 und 25H2: Builds 10.0.26100.0 bis vor 10.0.26100.9974 sowie 10.0.26200.0 bis vor 10.0.26200.9974
• Windows 11 Version 26H1: Builds 10.0.28000.0 bis vor 10.0.28000.3501
• Windows 11 Version 26H2: Builds 10.0.26300.0 bis vor 10.0.26300.9974
• Windows Server 2022: Builds 10.0.20348.0 bis vor 10.0.20348.5870

Behoben in

• Windows 10 Version 1607 und Windows Server 2016: 10.0.14393.9688 oder neuer
• Windows 10 Version 1809 und Windows Server 2019: 10.0.17763.9487 oder neuer
• Windows 10 Version 21H2 und 22H2: 10.0.19044.7846 oder neuer sowie 10.0.19045.7846 oder neuer
• Windows 11 Version 23H2: 10.0.22631.7711 oder neuer
• Windows 11 Version 24H2 und 25H2: 10.0.26100.9974 oder neuer sowie 10.0.26200.9974 oder neuer
• Windows 11 Version 26H1: 10.0.28000.3501 oder neuer
• Windows 11 Version 26H2: 10.0.26300.9974 oder neuer
• Windows Server 2022: 10.0.20348.5870 oder neuer

Die Build-Nummern stammen aus dem CVE-Eintrag. Sie sind vor dem Patchen anhand des MSRC-Advisory zu überprüfen. KB-Zuordnung: Unbekannt.

Umgehung

• Unbekannt. Microsoft hat in den geprüften Quellen keine Workaround-Massnahme veröffentlicht.
• Die Reduktion der SSTP-Exposition, zum Beispiel durch Einschränkung des Zugriffs auf den SSTP-Listener oder durch Umstellung der Remote-Benutzer auf ein anderes VPN-Protokoll, ist eine allgemeine Option. Sie hat betriebliche Auswirkungen auf den Fernzugriff und ist von Microsoft nicht bestätigt.

Ausnutzung

• In freier Wildbahn: In den geprüften Quellen wurde keine Ausnutzung gefunden. Eine Drittquelle führt die CVE nicht im KEV-Katalog der CISA; dies wurde nicht am KEV-Katalog verifiziert.
• Öffentlicher Proof of Concept: Keiner gefunden.
• CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung partiell.

Unsere Empfehlung

• Die Sicherheitsupdates vom November 2026 zuerst auf allen betroffenen SSTP-Servern (RRAS, Always On VPN) installieren, auf anderen betroffenen Windows-Systemen im nächsten geplanten Wartungsfenster.
• Die fixe Build-Version jedes Systems vor dem Rollout am MSRC-Advisory prüfen.
• Prüfen, ob SSTP aus dem Internet erreichbar ist, und den Zugriff einschränken, soweit der Geschäftsbetrieb dies zulässt.
• Sicherstellen, dass SSTP-Server auch für die CVE-2026-62889 (SSTP Remote Code Execution, August 2026) gepatcht sind.
• Verfügbarkeit des VPN sowie Logs auf ungewöhnliche Verbindungsfluten überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-105561 msrc.microsoft.com
• CVE Record CVE-2026-105561 www.cve.org
• VulDB entry 434557 vuldb.com
• Always On VPN security updates, November 2026 (Richard Hicks) directaccess.richardhicks.com
• Rapid7: Patch Tuesday November 2026 www.rapid7.com
• Strix: CVE-2026-105561 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 06:11.