Visual Studio: Remote Code Execution durch Heap-basierten Pufferüberlauf

Zusammenfassung

Ein Heap-basierter Pufferüberlauf in Visual Studio erlaubt einem nicht autorisierten Angreifer, über das Netzwerk Code auszuführen. Der CNA-Eintrag führt zusätzlich Microsoft .NET 8.0, 9.0, 10.0 und 11.0 unter Windows als betroffen auf. Gemäss CVSS-Vektor ist keine Berechtigung, aber eine Benutzerinteraktion nötig.

Betroffen

• Microsoft .NET 8.0 unter Windows: 8.0.0 bis vor 8.0.34
• Microsoft .NET 9.0 unter Windows: 9.0.0 bis vor 9.0.23
• Microsoft .NET 10.0 unter Windows: 10.0.0 bis vor 10.0.15
• Microsoft .NET 11.0 unter Windows: 11.0.0-preview.1 bis vor 11.0.0
• Visual Studio 2026 Version 18.11: 18.11.0 bis vor 18.11.4
• Visual Studio 2026 Version 18.12: Der vom CNA angegebene Bereich ist intern widersprüchlich; exakter Build unbekannt

Behoben in

• .NET 8.0.34, 9.0.23, 10.0.15 und 11.0.0 (Sicherheitsrelease vom 10. November 2026; in der Microsoft-Advisory noch zu bestätigen)
• Visual Studio 2026 18.11: Fixierter Build unbekannt (MSRC prüfen; eine Drittquelle nennt 18.11.4, nicht verifiziert)
• Visual Studio 2026 18.12: Fixierter Build unbekannt (MSRC prüfen)

Umgehung

• Unbekannt. In den Quellen wurde keine spezifische Massnahme gefunden.

Ausnutzung

• Zum Zeitpunkt der Veröffentlichung wurde keine Ausnutzung in freier Wildbahn gefunden.
• Kein öffentlicher Proof-of-Concept gefunden.
• Nicht als Eintrag im CISA-KEV-Katalog bestätigt; Katalog erneut prüfen.
• CNA-Temporalmetriken: Exploit-Reife Unproven, Vertrauenswürdigkeit des Berichts Confirmed.
• NVD-Status: Awaiting Analysis.

Unsere Empfehlung

• Die .NET-Sicherheitsupdates für die installierten Versionen einspielen (8.0.34, 9.0.23, 10.0.15, 11.0.0 oder neuer).
• Visual Studio 2026 auf den im MSRC Security Update Guide genannten Build aktualisieren, sobald bestätigt.
• Entwickler-Arbeitsstationen und Build-Server mit Visual Studio sowie Windows-Server mit .NET-Anwendungen priorisieren.
• MSRC-Eintrag und CISA KEV in den kommenden Tagen erneut prüfen und Ausnutzung überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide: CVE-2026-118745 msrc.microsoft.com
• CVE Record CVE-2026-118745 (CVE Program) www.cve.org
• .NET core release notes PR (November 2026 security release) github.com
• Strix AI: CVE-2026-118745 (third-party, unverified) www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 21:40.