Windows Remote Desktop Client: Informationsoffenlegung durch Out-of-Bounds-Read

Zusammenfassung

Der Windows Remote Desktop Client enthält eine Out-of-Bounds-Read-Schwachstelle (CWE-125), die eine Informationsoffenlegung über das Netzwerk ermöglicht. Ein Angreifer, der einen Benutzer dazu bringt, den Client mit einem vom Angreifer kontrollierten Server zu verbinden, kann Teile des Heap-Speichers auslesen. Für die Ausnutzung sind keine Berechtigungen, aber eine Benutzerinteraktion nötig, etwa das Öffnen einer manipulierten .rdp-Datei oder eines Links, und die Auswirkung beschränkt sich auf die Vertraulichkeit.

Betroffen

• Windows 10 Version 1607 (vor 10.0.14393.9688)
• Windows 10 Version 1809 (vor 10.0.17763.9487)
• Windows 10 Version 21H2 (vor 10.0.19044.7846)
• Windows 10 Version 22H2 (vor 10.0.19045.7846)
• Windows 11 Version 23H2 (vor 10.0.22631.7711)
• Windows 11 Version 24H2 (vor 10.0.26100.9974)
• Windows 11 Version 25H2 (vor 10.0.26200.9974)
• Windows 11 Version 26H1 (vor 10.0.28000.3501)
• Windows 11 Version 26H2 (vor 10.0.26300.9974)
• Windows Server 2016 inklusive Server Core (vor 10.0.14393.9688)
• Windows Server 2019 inklusive Server Core (vor 10.0.17763.9487)
• Windows App Client for Windows Desktop (vor 2.0.1489.0)

Behoben in

• Windows 10 1607 und Windows Server 2016: 10.0.14393.9688 oder neuer
• Windows 10 1809 und Windows Server 2019: 10.0.17763.9487 oder neuer
• Windows 10 21H2: 10.0.19044.7846 oder neuer
• Windows 10 22H2: 10.0.19045.7846 oder neuer
• Windows 11 23H2: 10.0.22631.7711 oder neuer
• Windows 11 24H2: 10.0.26100.9974 oder neuer
• Windows 11 25H2: 10.0.26200.9974 oder neuer
• Windows 11 26H1: 10.0.28000.3501 oder neuer
• Windows 11 26H2: 10.0.26300.9974 oder neuer
• Windows App Client for Windows Desktop: 2.0.1489.0 oder neuer

Umgehung

• In den geprüften Quellen ist von Microsoft kein Workaround dokumentiert.
• Übergangsmassnahme: Keine RDP-Verbindungen zu Hosts aufbauen, die Sie nicht kontrollieren, und unerwartete .rdp-Dateien oder Links als nicht vertrauenswürdig behandeln.

Ausnutzung

• Eine Ausnutzung ist nicht bekannt.
• Rapid7 stuft die Ausnutzung als weniger wahrscheinlich ein und führt die Schwachstelle nicht als öffentlich bekannt.
• Ein öffentlicher Proof of Concept ist nicht bekannt. Die Überwachung sollte fortgesetzt werden, da die CVE am 10. Nov 2026 veröffentlicht wurde.

Unsere Empfehlung

• Das Sicherheitsupdate vom November 2026 im normalen monatlichen Patch-Zyklus auf allen betroffenen Windows-Clients und -Servern installieren. Dabei Arbeitsstationen priorisieren, die sich mit externen oder Drittanbieter-RDP-Hosts verbinden, etwa bei MSPs oder Fernwartungsdienstleistern.
• RDP-Sitzungen nur zu vertrauenswürdigen Hosts aufbauen und Benutzer vor unerwarteten .rdp-Dateien und Links warnen.
• Die eigene Exponierung anhand des MSRC-Advisory prüfen und auf Updates zur Ausnutzung achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide: CVE-2026-108418 msrc.microsoft.com
• CVE.org record: CVE-2026-108418 www.cve.org
• Rapid7: Patch Tuesday November 2026 www.rapid7.com
• Offseq threat radar: CVE-2026-108418 radar.offseq.com
• Strix: CVE-2026-108418 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 12:38.