Microsoft Visual Studio: Heap-basierter Pufferüberlauf ermöglicht Remote Code Execution

Zusammenfassung

Ein heap-basierter Pufferüberlauf in Microsoft Visual Studio 2026 und der .NET-Laufzeitumgebung (8.0, 9.0, 10.0 und 11.0 Preview) unter Windows erlaubt einem nicht autorisierten Angreifer, über das Netzwerk Code auszuführen. Der Angriff erfordert eine Benutzerinteraktion, und der genaue Auslöser wird in den Quellen nicht beschrieben. Es wurde bisher weder eine Ausnutzung noch ein öffentlicher Proof of Concept gemeldet, und die NVD-Analyse ist noch ausstehend.

Betroffen

• Microsoft .NET 8.0 unter Windows: 8.0.0 bis vor 8.0.34
• Microsoft .NET 9.0 unter Windows: 9.0.0 bis vor 9.0.23
• Microsoft .NET 10.0 unter Windows: 10.0.0 bis vor 10.0.15
• Microsoft .NET 11.0 unter Windows: 11.0.0-preview.1 bis vor 11.0.0
• Visual Studio 2026 Version 18.11: 18.11.0 bis vor 18.11.4
• Visual Studio 2026 Version 18.12: betroffen, Versionsbereich nicht veröffentlicht

Behoben in

• .NET 8.0: 8.0.34 oder neuer (Sicherheitsupdate vom November 2026)
• .NET 9.0: 9.0.23 oder neuer (Sicherheitsupdate vom November 2026)
• .NET 10.0: 10.0.15 oder neuer (Sicherheitsupdate vom November 2026)
• .NET 11.0: 11.0.0 oder neuer
• Visual Studio 2026 Version 18.11: 18.11.4 gemäss einem Drittanbieter-Tracker, auf der MSRC-Seite zu überprüfen
• Visual Studio 2026 Version 18.12: Unbekannt.

Umgehung

Unbekannt. In den Quellen wurde keine Workaround-Massnahme des Herstellers identifiziert. Als vorgesehene Massnahme gilt das Einspielen der Updates.

Ausnutzung

• Es wurden keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
• Es wurde kein öffentlicher Proof of Concept gefunden.
• Die CVSS-Exploit-Reife ist "Unproven" (E:U).
• CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.

Unsere Empfehlung

• Alle Installationen von Visual Studio 2026 sowie von .NET 8, 9, 10 und 11 auf Arbeitsstationen und Servern inventarisieren.
• Die Sicherheitsupdates vom November 2026 für Visual Studio und .NET installieren.
• Die fixen Build-Nummern von Visual Studio auf der MSRC-Seite bestätigen, insbesondere für Version 18.12.
• Bis zur Behebung keine unbekannten Lösungen oder Projekte öffnen und keine nicht vertrauenswürdigen Programme auf Entwickler-Arbeitsstationen ausführen.
• Die Einträge der NVD und von MSRC auf Änderungen des Ausnutzungsstatus überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE record (CNA: Microsoft) www.cve.org
• Microsoft Security Response Center advisory msrc.microsoft.com
• .NET and .NET Framework November 2026 servicing updates devblogs.microsoft.com
• Strix CVE details (third-party, version data unverified) www.strix.ai
• CVE-2026-69439 (related, context only) cvereports.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 22:43.