Dynamics Business Central: Informationsoffenlegung durch fehlende Authentifizierung
Zusammenfassung
Eine unzureichende Authentifizierung in Microsoft Dynamics Business Central erlaubt einem nicht authentifizierten Angreifer, über das Netzwerk Informationen offenzulegen. Die CNA-Daten von Microsoft nennen stattdessen Dynamics NAV 2018, und die betroffenen Business-Central-Versionen sind unbekannt; die Betroffenheit ist daher auf der MSRC-Seite zu prüfen. Laut Microsoft handelt es sich bei den offengelegten Informationen um Dateipfadangaben, die einem Angreifer vor allem bei der Planung weiterer Angriffe helfen. Das Risiko ist dort am grössten, wo der ERP-Dienst aus dem Internet erreichbar ist.
Betroffen
- Microsoft Dynamics NAV 2018 (gemäss CNA-Daten, auf Windows Server 2012): Versionen ab 1.0 bis vor 11.0.50736.0
- Dynamics Business Central: Unbekannt.
Behoben in
- Dynamics NAV 2018: Build 50736 oder neuer (gemäss Drittanbieter-Scanner; über den Link "Download Security Update" auf der MSRC-Seite bestätigen)
- Dynamics Business Central: Unbekannt.
Umgehung
Unbekannt. Es wurde keine vom Hersteller veröffentlichte Workaround-Massnahme gefunden.
Ausnutzung
- Es wurden keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
- Es wurde kein öffentlicher Proof of Concept gefunden.
- Microsoft bewertet den temporalen Wert mit E:U (Exploit-Code nicht nachgewiesen).
- EPSS etwa 0.0099 (geringe prognostizierte Ausnutzungswahrscheinlichkeit).
- Ein Drittanbieter-Aggregator führt die CVE nicht im CISA-KEV-Katalog; nicht direkt überprüft.
Unsere Empfehlung
- Prüfen, ob Dynamics NAV 2018 oder Business Central On-Premises im Einsatz ist und welcher Build installiert ist.
- Den auf der MSRC-Seite aufgeführten, korrigierten Build installieren.
- Sicherstellen, dass die ERP-Dienstports nicht aus dem Internet erreichbar sind; den Zugriff über VPN oder Allow-Listing einschränken.
- Business-Central-Server zusätzlich auf CVE-2026-40375 prüfen.
Angaben von Microsoft (Patch Tuesday Oktober 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Microsoft Security Update Guide (CVE-2026-105728) msrc.microsoft.com
- Microsoft Security Update Guide, en-US (CVE-2026-105728) msrc.microsoft.com
- NVD record via Vulners (CVE-2026-105728) vulners.com
- CVE List record via Vulners (CVE-2026-105728) vulners.com
- Nessus plugin for NAV 2018 October 2026 updates (third-party) vulners.com
- SentinelOne: CVE-2026-40375 (related Business Central CVE) www.sentinelone.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 19:33.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.