Windows Message Queuing: Heap-basierter Pufferüberlauf ermöglicht Remote Code Execution

Zusammenfassung

Ein heap-basierter Pufferüberlauf in Windows Message Queuing (MSMQ) erlaubt einem nicht authentifizierten Angreifer im Netzwerk, Code auszuführen. Der CNA-Eintrag bewertet die Angriffskomplexität als hoch, daher sind für den Angriff bestimmte Voraussetzungen nötig. MSMQ ist ein optionales Windows-Feature, daher sind Systeme ohne installiertes MSMQ nicht betroffen.

Betroffen

• Windows 10 Version 1607 (Builds vor 10.0.14393.9688)
• Windows 10 Version 1809 (Builds vor 10.0.17763.9487)
• Windows 10 Version 21H2 (Builds vor 10.0.19044.7846)
• Windows 10 Version 22H2 (Builds vor 10.0.19045.7846, gemäss Drittquelle)
• Windows 11 Version 23H2 (Builds vor 10.0.22631.7711)
• Windows 11 Version 24H2 (Builds vor 10.0.26100.9974)
• Windows 11 Version 25H2 (Builds vor 10.0.26200.9974)
• Windows 11 Version 26H1 (Builds vor 10.0.28000.3501)
• Windows 11 Version 26H2 (Builds vor 10.0.26300.9974)
• Windows Server 2016, inklusive Server Core (Builds vor 10.0.14393.9688)
• Windows Server 2019, inklusive Server Core (Builds vor 10.0.17763.9487)
• Windows Server 2022 (Builds vor 10.0.20348.5870)
• Windows Server 2025: korrigierter Build 10.0.26100.33822 nur gemäss Drittquelle, nicht verifiziert

Behoben in

Behoben in den Sicherheitsupdates von Microsoft vom November 2026. Installieren Sie das Update für die oben aufgeführten betroffenen Builds. Prüfen Sie die genauen korrigierten Builds auf der MSRC-Seite, da der CNA-Eintrag den Eintrag für Windows 10 22H2 abschneidet und die Server-Builds aus einer Drittquelle stammen.

Umgehung

• Keine von Microsoft herausgegebene Workaround-Massnahme gefunden.
• Deaktivieren Sie das MSMQ-Feature, wenn es nicht benötigt wird. Das Deinstallieren von MSMQ löscht alle bestehenden Warteschlangen und die Warteschlangenkonfiguration, prüfen Sie daher zuerst Abhängigkeiten. Ein Neustart ist erforderlich.
• Allgemeine Härtungsmassnahme, von Microsoft für diese CVE nicht bestätigt: Blockieren Sie eingehenden TCP-Port 1801 an der Perimeter-Firewall und in nicht vertrauenswürdigen Netzsegmenten.

Ausnutzung

• Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden. Die CISA-SSVC-Bewertung lautet Exploitation: none und Automatable: no.
• Kein öffentlicher Proof of Concept gefunden.
• NVD analysiert die Schwachstelle noch, dieser Status kann sich daher ändern.

Unsere Empfehlung

• Installieren Sie die Sicherheitsupdates vom November 2026 auf allen Windows-Systemen, zuerst auf Servern mit Internetzugang und auf Systemen, die aus nicht vertrauenswürdigen Netzsegmenten erreichbar sind.
• Prüfen Sie, ob MSMQ installiert ist und läuft, insbesondere auf älteren .NET-Anwendungsservern, BizTalk-Hosts und älteren Arbeitsstationen.
• Deaktivieren Sie MSMQ auf Systemen, auf denen es nicht benötigt wird.
• Wo MSMQ aktiv bleiben muss, beschränken Sie TCP-Port 1801 auf die erforderlichen Quellen.
• Bestätigen Sie die Exposition und die korrigierten Builds anhand der MSRC-Advisory.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-116710 msrc.microsoft.com
• CVE Record CVE-2026-116710 (Microsoft CNA) www.cve.org
• ZDI: The November 2026 Security Update Review www.thezdi.com
• Strix: CVE-2026-116710 (secondary, build details unverified) www.strix.ai
• Automox: Mitigating MSMQ RCE on Windows www.automox.com
• PentestPad: Port 1801 MSMQ www.pentestpad.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 01:44.