Windows Active Directory: Remote Code Execution durch Stack-based Buffer Overflow

Zusammenfassung

Ein Stack-based Buffer Overflow in Windows Active Directory erlaubt einem autorisierten Angreifer laut CVE-Eintrag (CWE-121), über das Netzwerk Code auszuführen. Der Angriff setzt ein gültiges Konto mit niedrigen Berechtigungen in der Domäne voraus, und die Angriffskomplexität ist hoch. Eine erfolgreiche Ausnutzung hätte eine Code-Ausführung mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit zur Folge, was auf einem Domain Controller gravierend ist.

Betroffen

• Windows 10 Version 1607 (Builds vor 10.0.14393.9688)
• Windows 10 Version 1809 (Builds vor 10.0.17763.9487)
• Windows 10 Version 21H2 (Builds vor 10.0.19044.7846)
• Windows 10 Version 22H2 (Builds vor 10.0.19045.7846, nur laut Drittquelle; bei MSRC prüfen)
• Windows 11 Version 23H2 (Builds vor 10.0.22631.7711)
• Windows 11 Version 24H2 (Builds vor 10.0.26100.9974)
• Windows 11 Version 25H2 (Builds vor 10.0.26200.9974)
• Windows 11 Version 26H1 (Builds vor 10.0.28000.3501)
• Windows 11 Version 26H2 (Builds vor 10.0.26300.9974)
• Windows Server 2016, inklusive Server Core (Builds vor 10.0.14393.9688)
• Windows Server 2019, inklusive Server Core (Builds vor 10.0.17763.9487)
• Windows Server 2022 (Builds vor 10.0.20348.5870)
• Windows Server 2025: nicht verifiziert, nur laut Drittquelle aufgeführt

Behoben in

• Windows-Sicherheitsupdates vom November 2026 (veröffentlicht am 10. November 2026), mit den genannten Builds oder neueren Versionen
• KB-Nummern: Unbekannt. Vor dem Rollout im MSRC Security Update Guide prüfen.

Umgehung

Unbekannt. Es wurde kein Workaround des Herstellers gefunden; das Patchen ist die einzige identifizierte Massnahme.

• Übergangsmassnahmen (allgemeine Härtung, nicht vom Hersteller dokumentiert): Netzwerkzugriff auf Domain Controller einschränken und Domänenkonten mit niedrigen Berechtigungen begrenzen.

Ausnutzung

• Für diese CVE ist keine Ausnutzung in freier Wildbahn bekannt. Die im November-2026-Release ausgenutzte Schwachstelle wird als CVE-2026-124194 gemeldet.
• Kein öffentlicher Proof-of-Concept gefunden.
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
• Temporale Metriken: Reife des Exploit-Codes unbewiesen (E:U), Vertrauen in den Bericht bestätigt (RC:C).

Unsere Empfehlung

• Den MSRC-Hinweis prüfen und die KB- und Build-Nummern auf jedem Domain Controller und jedem Mitgliedsserver bestätigen.
• Zuerst Domain Controller patchen, danach weitere Windows-Server und Clients.
• Bis zum Patch den Netzwerkzugriff auf Domain Controller einschränken und die Verwaltung privilegierter sowie niedrig berechtigter Konten überprüfen.
• Prüfen, ob CVE-2026-45648, eine ähnliche CWE-121-Schwachstelle in AD DS aus dem Juni 2026, ebenfalls gepatcht ist.
• NVD und CISA KEV auf Änderungen des Ausnutzungsstatus prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (1 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  Ghost-Bx1/cve-2026-119948-windows-ad-rce

Quellen der Recherche

• MSRC Security Update Guide: CVE-2026-119948 msrc.microsoft.com
• CVE.org CNA record CVE-2026-119948 www.cve.org
• Strix: CVE-2026-119948 (third-party, unverified) www.strix.ai
• Rapid7: Patch Tuesday November 2026 www.rapid7.com
• Talos: Microsoft Patch Tuesday November 2026 blog.talosintelligence.com
• NTCompatible: November 2026 Patch Tuesday www.ntcompatible.com
• MSRC Security Update Guide: CVE-2026-45648 (related CWE-121 in AD DS) msrc.microsoft.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 05:26.