Windows Message Queuing: Heap-basierter Pufferüberlauf ermöglicht Remote Code Execution

Zusammenfassung

Die Komponente Queue Manager von Windows Message Queuing (MSMQ) in unterstützten Versionen von Windows 10, Windows 11 und Windows Server enthält einen heap-basierten Pufferüberlauf (CWE-122). Ein nicht authentifizierter Angreifer im Netzwerk kann Code ausführen, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit, wobei die Angriffskomplexität hoch ist. Nur Systeme mit installiertem MSMQ sind betroffen.

Betroffen

• Windows 10 Version 1607 (Builds vor 10.0.14393.9688)
• Windows 10 Version 1809 (Builds vor 10.0.17763.9487)
• Windows 10 Version 21H2 (Builds vor 10.0.19044.7846)
• Windows 10 Version 22H2 (Builds vor 10.0.19045.7846)
• Windows 11 Version 23H2 (Builds vor 10.0.22631.7711)
• Windows 11 Version 24H2 (Builds vor 10.0.26100.9974)
• Windows 11 Version 25H2 (Builds vor 10.0.26200.9974)
• Windows 11 Version 26H1 (Builds vor 10.0.28000.3501)
• Windows 11 Version 26H2 (Builds vor 10.0.26300.9974)
• Windows Server 2016, inklusive Server Core (Builds vor 10.0.14393.9688)
• Windows Server 2019, inklusive Server Core (Builds vor 10.0.17763.9487)
• Windows Server 2022 (Builds vor 10.0.20348.5870)

Behoben in

• Das Sicherheitsupdate für Windows vom November 2026 oder ein späteres kumulatives Update installieren.
• Die gepatchten Builds gemäss CNA-Eintrag sind die ersten nicht betroffenen Builds im Abschnitt Betroffene Versionen.
• Windows 11 23H2: KB5131087 (Build 10.0.22631.7711)
• Windows 11 24H2/25H2: KB5132061 (Builds 10.0.26100.9974 / 10.0.26200.9974)

Umgehung

Unbekannt. Es ist kein Workaround von Microsoft dokumentiert. Wenn MSMQ auf einem Host nicht benötigt wird, sollte die Funktion entfernt werden. Falls sie benötigt wird, sollte der Zugriff auf den TCP-Port 1801 auf die dafür nötigen Hosts beschränkt werden.

Ausnutzung

• Zum Zeitpunkt der Datenerhebung ist keine Ausnutzung bekannt.
• CISA SSVC: Ausnutzung keine, nicht automatisierbar, technische Auswirkung total.
• CVSS-Temporalmetrik für Reifegrad des Exploit-Codes: Unproven (E:U).
• In den geprüften Quellen wurde kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Das Sicherheitsupdate für Windows vom November 2026 auf allen betroffenen Systemen installieren, zuerst auf MSMQ-Servern.
• Prüfen, ob MSMQ installiert ist (Windows-Funktion oder Serverrolle), und diese Hosts identifizieren.
• Sicherstellen, dass der TCP-Port 1801 und der MSMQ-Verkehr nicht aus dem Internet oder aus unvertrauenswürdigen Netzwerken erreichbar sind.
• Den MSRC-Eintrag und den CISA KEV auf Änderungen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-109459 msrc.microsoft.com
• CVE Record CVE-2026-109459 www.cve.org
• Strix: CVE-2026-109459 www.strix.ai
• Microsoft KB5131087: Windows 11 23H2 security update support.microsoft.com
• Microsoft KB5132061: Windows 11 24H2/25H2/26H2 security update support.microsoft.com
• Microsoft Windows message center (release health) learn.microsoft.com
• Senserva: KB5131096 (Windows 10 21H2) senserva.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 01:46.