Windows Remote Desktop Services: Remote Code Execution durch Heap-Overflow

Zusammenfassung

Ein Heap-basierter Pufferüberlauf in Windows Remote Desktop Services erlaubt die Ausführung von Code auf betroffenen Windows-Systemen über das Netzwerk. Der CVSS-Vektor setzt einen netzwerkseitig erreichbaren Dienst und ein Konto mit niedrigen Berechtigungen voraus; eine Benutzerinteraktion ist nicht nötig. Am meisten gefährdet sind über das Internet erreichbare RDS-Server ohne Patch.

Betroffen

• Windows 10 Version 1607 (vor 10.0.14393.9688)
• Windows 10 Version 1809 (vor 10.0.17763.9487)
• Windows 10 Version 21H2 (vor 10.0.19044.7846)
• Windows 10 Version 22H2 (vor 10.0.19045.7846)
• Windows 11 Version 23H2 (vor 10.0.22631.7711)
• Windows 11 Version 24H2 (vor 10.0.26100.9974)
• Windows 11 Version 25H2 (vor 10.0.26200.9974)
• Windows 11 Version 26H1 (vor 10.0.28000.3501)
• Windows 11 Version 26H2 (vor 10.0.26300.9974)
• Windows Server 2016 inkl. Server Core (vor 10.0.14393.9688)
• Windows Server 2019 inkl. Server Core (vor 10.0.17763.9487)
• Windows Server 2022 (vor 10.0.20348.5870)
• Windows Server 2025 sowie 2012/2012 R2: Unbekannt (nicht im CNA-Eintrag bestätigt; Drittquellen widersprechen sich)

Behoben in

• Behoben in den Sicherheitsupdates von Microsoft vom November 2026. Genaue KB pro Betriebssystem: Unbekannt, auf MSRC prüfen.
• Behobene Builds laut CVE-Eintrag: siehe Liste der betroffenen Versionen oben.

Umgehung

Kein Workaround des Herstellers bekannt.

Ausnutzung

• Nicht als aktiv ausgenutzt bekannt (zum Zeitpunkt der Recherche kein Eintrag im CISA KEV gefunden).
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
• Kein öffentlicher Proof-of-Concept gefunden.

Unsere Empfehlung

• Windows-Server und Arbeitsstationen mit aktivierten Remote Desktop Services inventarisieren und über das Internet erreichbares RDP identifizieren.
• Das Sicherheitsupdate vom November 2026 auf allen betroffenen Systemen installieren; die KB pro Betriebssystem im MSRC-Advisory bestätigen.
• Bis zur Behebung RDP aus dem Internet entfernen und Zugriff nur über VPN oder ein RD Gateway mit MFA erlauben; Network Level Authentication aktiviert lassen.
• Konten mit RDS-Zugriff prüfen und Zugangsdaten zurücksetzen, die mehrfach verwendet oder durch Phishing kompromittiert sein könnten.
• CISA KEV und den NVD-Eintrag regelmässig prüfen, da die NVD-Analyse zum Zeitpunkt der Veröffentlichung noch ausstand.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-108401 msrc.microsoft.com
• CVE Record: CVE-2026-108401 www.cve.org
• Senserva KB 5132061 senserva.com
• Strix CVE-2026-108401 www.strix.ai
• Microsoft Q&A: Windows Remote Desktop Services privilege escalation learn.microsoft.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 23:58.