Windows DHCP Server: Spoofing aufgrund fehlender Zugriffskontrolle

Zusammenfassung

Eine unzureichende Zugriffskontrolle in der DHCP-Server-Rolle von Windows Server erlaubt einem nicht autorisierten Angreifer im Netzwerk, Spoofing durchzuführen. Microsoft stuft die Auswirkung nur als niedrige Integrität ein (CVSS 5.3), ohne Verlust der Vertraulichkeit oder Verfügbarkeit. Es ist keine Authentifizierung nötig, ein praktischer Angriff setzt jedoch in der Regel eine Position im selben LAN-Segment wie der DHCP-Server oder dessen Clients voraus.

Betroffen

• Windows Server 2016 und Server-Core-Installation: Builds 10.0.14393.0 vor 10.0.14393.9688
• Windows Server 2019 und Server-Core-Installation: Builds 10.0.17763.0 vor 10.0.17763.9487
• Windows Server 2022: Builds 10.0.20348.0 vor 10.0.20348.5870
• Windows Server 2025 und Server-Core-Installation: Builds 10.0.26100.0 vor 10.0.26100.33822
• Windows-10-Editionen sind im CVE-Eintrag nicht aufgeführt.

Behoben in

• Das Sicherheitsupdate vom November 2026 für die betroffene Windows-Server-Edition installieren, das die Builds 10.0.14393.9688, 10.0.17763.9487, 10.0.20348.5870 bzw. 10.0.26100.33822 oder neuer enthält.
• Für Server 2019 nennt eine Drittquelle KB5131085; die KB-Nummer auf der MSRC-Seite verifizieren.
• KB-Nummern für Server 2016, 2022 und 2025 sind unbekannt; auf der MSRC-Seite prüfen.

Umgehung

• Von Microsoft ist keine Workaround-Massnahme bekannt.
• Allgemeine Härtung (nicht aus der Advisory): DHCP-Snooping auf verwalteten Switches aktivieren, sodass nur vertrauenswürdige Ports DHCP-Serverantworten senden können.
• DHCP-Clients und den DHCP-Server in einem geschützten VLAN betreiben.

Ausnutzung

• Microsoft bewertet die Exploit-Reife als unbewiesen (E:U); für diese CVE ist kein öffentlich verfügbarer Exploit-Code bekannt.
• CISA SSVC bewertet die Ausnutzung als none, mit automatisierbar: ja und technischer Auswirkung: partiell.
• Die CVE ist laut einer Drittquelle nicht im CISA-KEV-Katalog und steht nicht im Zusammenhang mit bekannter Ausnutzung.

Unsere Empfehlung

• Das Sicherheitsupdate vom November 2026 auf allen betroffenen Windows-Server-Systemen im regulären monatlichen Patch-Zyklus einspielen.
• Server mit DHCP-Rolle in flachen Netzwerken mit Gast- oder IoT-Geräten oder ohne DHCP-Snooping priorisieren.
• Als Übergangsmassnahme DHCP-Snooping aktivieren und DHCP-Clients in geschützte VLANs trennen.
• Prüfen, ob DHCP auf einem Windows Server läuft; Systeme, bei denen DHCP auf einer Firewall, einem Router oder einem NAS läuft, sind weniger betroffen.
• Auf ungewöhnlichen DHCP-Verkehr oder unautorisierte DHCP-Serverantworten achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Response Center: CVE-2026-113773 msrc.microsoft.com
• CVE Record CVE-2026-113773 www.cve.org
• Release summary for KB5131085 (third-party) senserva.com
• CAPEC-697: DHCP spoofing capec.mitre.org
• MITRE ATT&CK T1557.003: DHCP Spoofing attack.mitre.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 18:33.