Windows Remote Desktop Client: Offenlegung von Informationen durch Out-of-Bounds Read

Zusammenfassung

Der Windows Remote Desktop Client enthält einen Out-of-Bounds-Read-Fehler (CWE-125), der über das Netzwerk ausgelöst werden kann. Ein nicht authentifizierter Angreifer kann unter Umständen Teile des Speichers auslesen und Informationen offenlegen, wobei eine Benutzerinteraktion erforderlich ist. Integrität und Verfügbarkeit sind nicht betroffen. Microsoft stuft die Schwachstelle als Important ein, und es wurde keine Ausnutzung beobachtet.

Betroffen

• Windows 10 Version 1607 und Windows Server 2016 (inklusive Server Core): vor 10.0.14393.9688
• Windows 10 Version 1809 und Windows Server 2019 (inklusive Server Core): vor 10.0.17763.9487
• Windows 10 Version 21H2: vor 10.0.19044.7846
• Windows 10 Version 22H2: vor 10.0.19045.7846
• Windows 11 Version 23H2: vor 10.0.22631.7711
• Windows 11 Version 24H2: vor 10.0.26100.9974
• Windows 11 Version 25H2: vor 10.0.26200.9974
• Windows 11 Version 26H1: vor 10.0.28000.3501
• Windows 11 Version 26H2: vor 10.0.26300.9974
• Microsoft Windows App Client for Windows Desktop: vor 2.0.1489.0

Behoben in

• Die Sicherheitsupdates von November 2026 für die oben aufgeführten betroffenen Windows-Builds installieren (veröffentlicht am 10. Nov 2026).
• Den Windows App Client for Windows Desktop auf Version 2.0.1489.0 oder höher aktualisieren.

Umgehung

Unbekannt.

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn.
• Rapid7 stuft die Ausnutzung als weniger wahrscheinlich ein; die Exploit-Code-Reife wird von Microsoft als Unproven bewertet.
• CISA SSVC: Ausnutzung keine, nicht automatisierbar, partielle technische Auswirkung.
• Kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Die Windows-Updates von November 2026 über Windows Update, WSUS oder Intune bereitstellen und dabei Windows-10-Systeme priorisieren, die noch unterstützt sind oder über ESU verfügen.
• Systeme mit Windows 10 1607 und 1809 prüfen, da für sie möglicherweise kein Standard-Support mehr besteht, und diese ersetzen oder aktualisieren.
• Die übrigen RDP-Client-Schwachstellen zur Offenlegung von Informationen aus demselben Patchday zusammen mit dieser Schwachstelle patchen.
• Mitarbeitende anweisen, den RDP-Client bis zur Installation der Updates nicht mit unbekannten oder nicht vertrauenswürdigen Endpunkten zu verbinden.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-108419 msrc.microsoft.com
• CVE.org CNA record: CVE-2026-108419 www.cve.org
• Rapid7: November 2026 Patch Tuesday www.rapid7.com
• OffSeq threat radar: CVE-2026-108419 radar.offseq.com
• Strix: CVE-2026-108419 www.strix.ai
• EUVD / Vulners: EUVD-2026-99475 vulners.com
• CyberPress: Microsoft November 2026 patches cyberpress.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 12:36.