Windows DNS: Remote Code Execution durch Deserialisierung

Zusammenfassung

Eine Deserialisierungsschwachstelle in der Windows-DNS-Komponente erlaubt es einem nicht autorisierten Angreifer, über das Netzwerk Code auszuführen. Eine erfolgreiche Ausnutzung hätte hohe Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Der CVSS-Vektor setzt eine Benutzerinteraktion voraus (UI:R), der CVSS-Basiswert beträgt 8.8 (Hoch).

Betroffen

• Windows 10 Version 1607: 10.0.14393.0 bis vor 10.0.14393.9612
• Windows 10 Version 1809: 10.0.17763.0 bis vor 10.0.17763.9376
• Windows 10 Version 21H2: 10.0.19044.0 bis vor 10.0.19044.7807
• Windows 10 Version 22H2: 10.0.19045.0 bis vor 10.0.19045.7807
• Windows 11 Version 23H2: 10.0.22631.0 bis vor 10.0.22631.7652
• Windows 11 Version 24H2: 10.0.26100.0 bis vor 10.0.26100.9711
• Windows 11 Version 25H2: 10.0.26200.0 bis vor 10.0.26200.9711
• Windows 11 Version 26H1: 10.0.28000.0 bis vor 10.0.28000.3231
• Windows 11 Version 26H2: 10.0.26300.0 bis vor 10.0.26300.9711
• Windows Server 2012 (inklusive Server Core): 6.2.9200.0 bis vor 6.2.9200.26434
• Windows Server 2012 R2 (inklusive Server Core): 6.3.9600.0 bis vor 6.3.9600.23470
• Windows Server 2016: 10.0.14393.0 bis vor 10.0.14393.9612
• Ob die Serverrolle, der Client oder beide betroffen sind: Unbekannt.

Behoben in

• Installieren Sie das Sicherheitsupdate von Microsoft aus dem Patch Tuesday vom 10. November 2026 für jeden betroffenen Build.
• Erste korrigierte Builds gemäss CVE-Eintrag: 10.0.14393.9612, 10.0.17763.9376, 10.0.19044.7807, 10.0.19045.7807, 10.0.22631.7652, 10.0.26100.9711, 10.0.26200.9711, 10.0.26300.9711, 10.0.28000.3231, 6.2.9200.26434, 6.3.9600.23470.
• Bestätigen Sie die genauen KB-Nummern und Builds auf der MSRC-Seite vor der Verteilung.

Umgehung

• Unbekannt. Die Quellen nennen keine Workaround des Herstellers.
• Setzen Sie DNS-Server nur dem Internet aus, wenn dies zwingend erforderlich ist.
• Beschränken Sie TCP/UDP 53 auf bekannte Quellen und begrenzen Sie die Rekursion auf interne Clients.

Ausnutzung

• Zum Zeitpunkt der Veröffentlichung ist keine Ausnutzung in freier Wildbahn bekannt.
• CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Es wurde kein öffentlicher Proof of Concept gefunden. Der Status ist unbekannt und sollte erneut geprüft werden.

Unsere Empfehlung

• Bestätigen Sie die betroffenen Builds auf der MSRC-Seite und patchen Sie danach zuerst Windows-DNS-Server und Domänencontroller, anschliessend weitere Windows-Systeme.
• Prüfen Sie, dass DNS-Dienste nicht aus dem Internet erreichbar sind, und beschränken Sie, wer Abfragen senden darf.
• Überwachen Sie in den kommenden Wochen Hinweise auf Ausnutzung und öffentlichen Proof-of-Concept-Code, da die Analyse durch NVD noch aussteht.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-109463 msrc.microsoft.com
• CVE.org record CVE-2026-109463 (Microsoft as CNA) www.cve.org
• OffSeq threat radar: CVE-2026-109463 radar.offseq.com
• Strix: CVE-2026-109463 www.strix.ai
• 0patch: Micropatches for Windows DNS Server RCE 0patch.com
• Zero Day Initiative: November 2026 Security Update Review www.zerodayinitiative.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 23:56.