Microsoft Remote Desktop Client: Double Free führt zu Remote Code Execution

Zusammenfassung

Eine Double-Free-Schwachstelle (CWE-415) im Microsoft Remote Desktop Client erlaubt einem nicht authentifizierten Angreifer, über das Netzwerk Code auszuführen. Für die Ausnutzung ist eine Benutzerinteraktion nötig, etwa das Verbinden mit einem manipulierten RDP-Host oder das Öffnen einer präparierten RDP-Datei. Der CVSS-Basiswert beträgt 8.8 (hoch), und die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit werden als hoch eingestuft.

Betroffen

• Windows 10 Version 1607, 1809, 21H2 und 22H2 (Builds unterhalb der fixen Versionen im CVE-Eintrag)
• Windows 11 Version 23H2, 24H2, 25H2, 26H1 und 26H2 (Builds unterhalb der fixen Versionen im CVE-Eintrag)
• Windows Server 2016, 2019 und 2022 (inklusive Server Core)
• Genaue fixe Builds für alle Produkte: siehe MSRC-Advisory, da die vollständige Liste nicht verifiziert werden konnte

Behoben in

• Behoben im Sicherheitsupdate vom November 2026 für die betroffenen Windows-Versionen, gemäss CVE-Eintrag und Berichterstattung zum Patch Tuesday
• Minimale fixe Builds laut CVE-Eintrag umfassen 10.0.14393.9688 (1607), 10.0.17763.9487 (1809) und 10.0.19044.7846 (21H2); weitere fixe Builds: siehe MSRC-Advisory

Umgehung

Unbekannt.

• In den geprüften Quellen wurde kein Workaround des Herstellers gefunden.

Ausnutzung

• Aktive Ausnutzung in freier Wildbahn: nicht bestätigt.
• Öffentlicher Proof of Concept: keiner gefunden.
• Exploit-Reife laut CVE-Eintrag: Unproven.
• CISA SSVC: Ausnutzung none, automatisierbar nein, technische Auswirkung total.
• Status im CISA KEV: nicht geprüft.

Unsere Empfehlung

• Das Sicherheitsupdate von Microsoft vom November 2026 auf allen betroffenen Windows-Workstations und Servern installieren, Workstations und Admin-PCs zuerst.
• Bis zur Installation nur mit vertrauenswürdigen RDP-Hosts verbinden und keine unbekannten .rdp-Dateien öffnen.
• Prüfen, wo der Remote Desktop Client verwendet wird, insbesondere Verbindungen zu externen oder nicht vertrauenswürdigen Hosts.
• Herstellerupdates verfolgen und das MSRC-Advisory für die genauen fixen Builds prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE Record CVE-2026-119934 www.cve.org
• Microsoft Security Update Guide CVE-2026-119934 msrc.microsoft.com
• BleepingComputer: Microsoft November 2026 Patch Tuesday www.bleepingcomputer.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 21:37.