Windows Internet Information Services: Denial of Service durch Integer-Unterlauf

Zusammenfassung

Die Windows Internet Information Services (IIS) von Microsoft enthalten einen Integer-Unterlauf, der einem entfernten, nicht authentifizierten Angreifer einen Denial-of-Service-Angriff ermöglicht. Bei erfolgreicher Ausnutzung kann der Webdienst abstürzen oder blockiert werden. Eine Beeinträchtigung der Vertraulichkeit oder Integrität ist nicht angegeben, und die Angriffskomplexität ist hoch. Systeme ohne installierte IIS sind nicht betroffen.

Betroffen

• Windows 10 Version 1607 und Windows Server 2016 (inklusive Server Core): Builds vor 10.0.14393.9688
• Windows 10 Version 1809 und Windows Server 2019 (inklusive Server Core): Builds vor 10.0.17763.9487
• Windows 10 Version 21H2 und 22H2: Builds vor 10.0.19044.7846 bzw. 10.0.19045.7846
• Windows 11 Version 23H2: Builds vor 10.0.22631.7711
• Windows 11 Version 24H2 und 25H2: Builds vor 10.0.26100.9974 bzw. 10.0.26200.9974
• Windows 11 Version 26H1: Builds vor 10.0.28000.3501
• Windows 11 Version 26H2: Builds vor 10.0.26300.9974
• Windows Server 2022: Builds vor 10.0.20348.5870
• Hinweis: Die Build-Nummern stammen aus dem CVE-Eintrag und müssen im MSRC-Advisory bestätigt werden.

Behoben in

• Sicherheitsupdate vom 10. November 2026 für jeden betroffenen Windows-Build.
• Kein separater IIS-Patch gefunden.
• Die Korrektur für Windows 11 Version 26H1 soll in KB5132059 enthalten sein (nicht verifiziert).

Umgehung

• Unbekannt. Es wurde kein vom Hersteller dokumentierter Workaround gefunden.
• Die betroffenen Systeme patchen.

Ausnutzung

• Es ist nicht bekannt, dass die Schwachstelle aktiv ausgenutzt wird.
• Es ist kein öffentlicher Proof of Concept bekannt.
• Der CVSS-Temporal-Vektor verwendet die Exploit-Reife 'Unproven'.
• CISA SSVC: Ausnutzung keine, automatisierbar nein.
• Die NVD-Analyse war zum Zeitpunkt der Veröffentlichung noch ausstehend.

Unsere Empfehlung

• Prüfen Sie, ob IIS auf Ihren Windows-Servern und -Clients installiert ist.
• Installieren Sie das Sicherheitsupdate vom November 2026, zuerst auf den aus dem Internet erreichbaren IIS-Servern.
• Bestätigen Sie vor der Verteilung den korrigierten Build für jedes Betriebssystem im MSRC-Advisory.
• Beobachten Sie NVD und MSRC auf Änderungen des Ausnutzungsstatus.
• Priorisieren Sie andere kritische IIS-Schwachstellen aus demselben Release, etwa CVE-2026-70024 und CVE-2026-119961.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-119936 msrc.microsoft.com
• CVE Record CVE-2026-119936 www.cve.org
• Strix.ai: CVE-2026-119936 www.strix.ai
• Senserva: KB5132059 senserva.com
• Rapid7: Patch Tuesday November 2026 www.rapid7.com
• Action1: Patch Tuesday November 2026 www.action1.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 15:14.