Windows Internet Information Services: Denial-of-Service-Schwachstelle

Zusammenfassung

Die Windows Internet Information Services (IIS) von Microsoft enthalten eine Schwachstelle durch unkontrollierte Ressourcennutzung (CWE-401). Ein nicht authentifizierter Angreifer im Netzwerk kann den Dienst dadurch nicht verfügbar machen. Die Angriffskomplexität ist hoch, die Auswirkung beschränkt sich auf die Verfügbarkeit; Codeausführung oder Datenzugriff werden nicht beschrieben. Aus dem Internet erreichbare IIS-Server sind am stärksten gefährdet. Eine Ausnutzung ist nicht bekannt, und es wurde kein öffentlicher Proof of Concept gefunden.

Betroffen

• Windows 10 Version 1607 und Windows Server 2016 (inklusive Server-Core-Installation): Builds 10.0.14393.0 bis vor 10.0.14393.9688
• Windows 10 Version 1809 und Windows Server 2019 (inklusive Server-Core-Installation): Builds 10.0.17763.0 bis vor 10.0.17763.9487
• Windows 10 Version 21H2 und 22H2: Builds 10.0.19044.0 bis vor 10.0.19044.7846 sowie 10.0.19045.0 bis vor 10.0.19045.7846
• Windows 11 Version 23H2: Builds 10.0.22631.0 bis vor 10.0.22631.7711
• Windows 11 Version 24H2, 25H2 und 26H2: Builds 10.0.26100.0 bis vor 10.0.26100.9974, 10.0.26200.0 bis vor 10.0.26200.9974 und 10.0.26300.0 bis vor 10.0.26300.9974
• Windows 11 Version 26H1: Builds 10.0.28000.0 bis vor 10.0.28000.3501
• Windows Server 2022: Builds 10.0.20348.0 bis vor 10.0.20348.5870
• Hinweis: Die Angaben stammen aus dem CNA-Eintrag; sekundäre Quellen weichen bei einzelnen Builds ab. Im MSRC-Advisory prüfen.

Behoben in

• Behoben mit den Sicherheitsupdates vom Patch Tuesday im November 2026 von Microsoft.
• Genaue KB-Nummern und behobene Builds: siehe MSRC-Advisory.

Umgehung

Unbekannt.

• Es ist kein Workaround des Herstellers bekannt. Das Einspielen des Patches ist die dokumentierte Massnahme.
• Einschränken, welche Hosts den IIS-Dienst erreichen können.

Ausnutzung

• Eine Ausnutzung in freier Wildbahn ist nicht bekannt.
• Rapid7 stuft die Ausnutzung als weniger wahrscheinlich ein und meldet keine öffentliche Offenlegung.
• Kein öffentlicher Proof of Concept oder Exploit-Code gefunden.

Unsere Empfehlung

• Die Sicherheitsupdates vom November 2026 auf allen betroffenen Windows-10-, Windows-11- und Windows-Server-Systemen installieren, zuerst auf aus dem Internet erreichbaren IIS-Servern.
• Betroffene Builds und KB-Nummern im MSRC-Advisory überprüfen.
• Prüfen, ob IIS läuft und aus dem Internet erreichbar ist, und den Zugriff einschränken, wo er nicht benötigt wird.
• Änderungen beim Ausnutzungsstatus beobachten und NVD prüfen, sobald die Analyse abgeschlossen ist.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-119909 msrc.microsoft.com
• CVE Record: CVE-2026-119909 www.cve.org
• Strix AI: CVE-2026-119909 www.strix.ai
• Senserva: KB5132059 senserva.com
• Rapid7: November 2026 Patch Tuesday www.rapid7.com
• BleepingComputer: November 2026 Patch Tuesday www.bleepingcomputer.com
• SOCRadar: November 2026 Patch Tuesday socradar.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 15:15.