Windows Function Discovery SSDP Provider: Use-after-free-Remote-Code-Execution

Zusammenfassung

Eine Use-after-free-Schwachstelle im Windows Function Discovery SSDP Provider erlaubt einem nicht authentifizierten Angreifer, Code auszuführen. Der Angreifer muss sich im selben oder in einem benachbarten Netzwerksegment befinden, und der Angriff gilt als komplex. Es sind keine Berechtigungen und keine Benutzerinteraktion nötig. Eine erfolgreiche Ausnutzung könnte Vertraulichkeit, Integrität und Verfügbarkeit des betroffenen Systems beeinträchtigen.

Betroffen

• Windows 10 Version 1607, 1809, 21H2 und 22H2
• Windows 11 Version 23H2, 24H2, 25H2 und 26H1 (Version 26H2 ist im CVE-Eintrag ebenfalls aufgeführt)
• Windows Server 2016, 2019 und 2022, inklusive Server-Core-Installationen
• Genaue betroffene Bereiche: siehe Microsoft Security Update Guide, da der abgerufene Text des CVE-Eintrags unvollständig war

Behoben in

• Behoben im Sicherheitsupdate vom November 2026 (Patch Tuesday); kumulatives Update für jeden Windows-Build installieren
• Gemäss CVE-Eintrag behobene Builds (vor der Bereitstellung im MSRC-Advisory prüfen): 10.0.14393.9688 (1607 und Server 2016), 10.0.17763.9487 (1809 und Server 2019), 10.0.19044.7846 (21H2), 10.0.19045.7846 (22H2), 10.0.22631.7711 (23H2), 10.0.20348.5870 (Server 2022), 10.0.26100.9974 (24H2), 10.0.26200.9974 (25H2), 10.0.26300.9974 (26H2), 10.0.28000.3501 (26H1)
• Die Build-Nummern unterscheiden sich bei einzelnen Versionen zwischen den Quellen; im MSRC-Advisory bestätigen

Umgehung

• Im geprüften Quellenmaterial wurde keine Workaround des Herstellers gefunden. Unbekannt.
• Temporäre Massnahme (nicht vom Hersteller): SSDP- und Discovery-Verkehr in nicht vertrauenswürdigen Segmenten wie Gast-WLAN einschränken
• Temporäre Massnahme (nicht vom Hersteller): Dienste SSDP Discovery bzw. Function Discovery auf Systemen deaktivieren, auf denen sie nicht benötigt werden; vor dem Rollout testen

Ausnutzung

• Zum Zeitpunkt der Recherche wurde keine Ausnutzung in freier Wildbahn gefunden
• Microsoft stuft die Ausnutzung als weniger wahrscheinlich ein; CISA SSVC führt die Ausnutzung als keine und nicht automatisierbar auf
• Kein öffentlicher Proof of Concept gefunden; Exploit Code Maturity ist Unproven
• NVD-Status: Awaiting Analysis

Unsere Empfehlung

• Vollständiges MSRC-Advisory lesen und den behobenen Build für jede eingesetzte Windows-Version bestätigen
• Alle Windows-Systeme nach Build-Nummer inventarisieren und nicht mehr unterstützte Systeme (Windows 10 1607, 1809, 21H2 und 22H2) sowie die Registrierung für Extended Security Updates prüfen
• Sicherheitsupdate vom November 2026 installieren, zuerst Server und nicht mehr unterstützte Systeme
• SSDP- und Discovery-Verkehr zwischen Netzwerkzonen einschränken und den Dienst deaktivieren, wo er nicht benötigt wird
• Auf neue Exploit-Meldungen und die NVD-Anreicherung achten

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-118145 msrc.microsoft.com
• CVE Record CVE-2026-118145 www.cve.org
• Rapid7: Patch Tuesday November 2026 www.rapid7.com
• Talos: Microsoft Patch Tuesday November 2026 blog.talosintelligence.com
• Splashtop: Patch Tuesday November 2026 www.splashtop.com
• Strix mirror: CVE-2026-118145 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 05:37.