Visual Studio: Remote Code Execution durch Deserialisierung nicht vertrauenswürdiger Daten

Zusammenfassung

Eine Deserialisierungsschwachstelle in Visual Studio erlaubt einem nicht autorisierten Angreifer aus dem Netzwerk, Code auf einem betroffenen System auszuführen. Gemäss CVSS-Vektor sind keine Berechtigungen nötig, ein Benutzer muss jedoch aktiv werden. Realistische Angriffe würden daher vermutlich einen Köder erfordern, etwa eine präparierte Datei oder ein präpariertes Projekt, das in der IDE geöffnet wird. Der CNA-Eintrag nennt Visual Studio 2026 Version 18.12 sowie .NET 8, 9, 10 und 11-Vorabversionen unter Windows. Eine Ausnutzung ist nicht bekannt, und die NVD-Analyse war zum Zeitpunkt der Veröffentlichung noch ausstehend.

Betroffen

• Microsoft Visual Studio 2026 Version 18.12 (CNA-Eintrag; der angegebene Bereich ist unvollständig)
• Microsoft .NET 8.0 unter Windows: 8.0.0 bis vor 8.0.34 (CNA-Eintrag)
• Microsoft .NET 9.0 unter Windows: 9.0.0 bis vor 9.0.23 (CNA-Eintrag)
• Microsoft .NET 10.0 unter Windows: 10.0.0 bis vor 10.0.15 (CNA-Eintrag)
• Microsoft .NET 11.0-Vorabversionen unter Windows: 11.0.0-preview.1 bis vor 11.0.0 (CNA-Eintrag)

Behoben in

• Unbekannt, bis Microsoft die korrigierten Versionen im MSRC-Advisory bestätigt.
• Microsoft hat Sicherheitsupdates für .NET 8, 9 und 10 im November 2026 veröffentlicht; dies ist der wahrscheinliche Patch-Weg, für diese CVE aber noch nicht bestätigt.

Umgehung

• Keine bekannt.

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn. CISA SSVC: Ausnutzung keine, nicht automatisierbar.
• Zum Zeitpunkt der Recherche wurde kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Visual Studio 2026 sowie .NET 8, 9, 10 und 11-Vorabinstallationen auf Entwicklerarbeitsplätzen und Build-Servern inventarisieren.
• Die Updates für .NET und Visual Studio vom November 2026 installieren, sobald Microsoft die korrigierten Versionen bestätigt.
• Bis zum Patch keine nicht vertrauenswürdigen Projekt-, Solution- oder Datendateien in Visual Studio öffnen.
• Das MSRC-Advisory und den CISA-KEV-Katalog auf Änderungen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Response Center advisory msrc.microsoft.com
• Microsoft .NET blog: November 2026 servicing updates devblogs.microsoft.com
• Visual Studio 2026 release notes learn.microsoft.com
• CVE Record CVE-2026-114151 www.cve.org
• Strix CVE summary (secondary, CNA-sourced) www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 22:44.