Microsoft Remote Desktop Client: Remote Code Execution durch Use-after-free

Zusammenfassung

Ein Use-after-free-Fehler (CWE-416) im Remote Desktop Client mehrerer Windows-10-, Windows-11- und Windows-Server-Versionen erlaubt die Remote Code Execution. Die Schwachstelle liegt im Client und nicht im RDP-Server. Ein Angreifer benötigt keine Berechtigungen, das Opfer muss jedoch eine Aktion ausführen, etwa die Verbindung zu einem bösartigen oder kompromittierten RDP-Endpunkt. Der CVSS-3.1-Basiswert beträgt 8.8 (hoch).

Betroffen

• Windows 10 Version 1607 (10.0.14393.0 bis vor 10.0.14393.9612)
• Windows 10 Version 1809 (10.0.17763.0 bis vor 10.0.17763.9376)
• Windows 10 Version 21H2 (10.0.19044.0 bis vor 10.0.19044.7807)
• Windows 10 Version 22H2 (10.0.19045.0 bis vor 10.0.19045.7807)
• Windows 11 Version 23H2 (10.0.22631.0 bis vor 10.0.22631.7652)
• Windows 11 Version 24H2 (10.0.26100.0 bis vor 10.0.26100.9711)
• Windows 11 Version 25H2 (10.0.26200.0 bis vor 10.0.26200.9711)
• Windows 11 Version 26H1 (10.0.28000.0 bis vor 10.0.28000.3231)
• Windows Server 2012 und 2012 R2, inklusive Server Core (6.2.9200.0 bis vor 6.2.9200.26434; 6.3.9600.0 bis vor 6.3.9600.23470)
• Windows Server 2016, inklusive Server Core (10.0.14393.0 bis vor 10.0.14393.9612)

Behoben in

• Das kumulative Update vom Oktober 2026 für jede betroffene Windows-Version installieren (Build-Nummern gemäss Abschnitt betroffene Versionen).
• Der erste korrigierte Build für Windows 10 1607 und Windows Server 2016 ist 10.0.14393.9612; die KB-Nummer ist unbekannt und muss auf der MSRC-Seite bestätigt werden.

Umgehung

Unbekannt. In den Quellen wurde keine Workaround des Herstellers gefunden.

• Allgemeine Massnahme, nicht aus einer Herstellerquelle: RDP-Client-Verbindungen auf vertrauenswürdige Server beschränken und keine .rdp-Dateien aus unbekannten Quellen öffnen.

Ausnutzung

• CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
• Kein öffentlicher Proof of Concept gefunden. In den geprüften Quellen wird keine Ausnutzung in freier Wildbahn gemeldet.
• EPSS-Wert 0.00767 (niedrig) gemäss Vulners.

Unsere Empfehlung

• Alle betroffenen Windows-Clients und -Server mit den kumulativen Updates vom Oktober 2026 patchen, zuerst die Systeme mit Windows 10 1607 und Server 2016.
• Windows-10-1607-Systeme ersetzen oder aktualisieren, falls sie nicht mehr unterstützt werden, da keine weiteren Patches zu erwarten sind.
• Den Supportstatus der eigenen Edition prüfen und die korrigierten Builds im MSRC-Advisory bestätigen.
• RDP-Client-Verbindungen auf vertrauenswürdige Server beschränken und ungewöhnliche RDP-Verbindungen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-108458 msrc.microsoft.com
• Vulners NVD entry CVE-2026-108458 vulners.com
• Vulners VulnCheck entry CVE-2026-108458 vulners.com
• Vulners Rapid7 entry CVE-2026-108458 vulners.com
• Senserva KB5126657 (October 2026 update) senserva.com
• Strix CVE-2026-108458 www.strix.ai
• Tenable plugin 365473 www.tenable.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 19:11.