Windows Deployment Services: Use-after-free führt zu Remote Code Execution

Zusammenfassung

Windows Deployment Services (WDS), eine Serverrolle von Windows Server, enthält eine Use-after-free-Schwachstelle (CWE-416). Ein nicht berechtigter Angreifer im Netzwerk könnte dadurch Code auf einem betroffenen Server ausführen. Der CVSS-Vektor bewertet die Angriffskomplexität als hoch und geht von keinen Berechtigungen und keiner Benutzerinteraktion aus. Eine Auswertung durch einen Hersteller deutet jedoch darauf hin, dass ein Konto mit niedrigen Rechten nötig sein könnte; dies ist von Microsoft noch nicht bestätigt.

Betroffen

• Windows Server 2016 und Windows Server 2016 (Installation als Server Core): 10.0.14393.0 bis vor 10.0.14393.9688
• Windows Server 2019 und Windows Server 2019 (Installation als Server Core): 10.0.17763.0 bis vor 10.0.17763.9487
• Windows Server 2022: 10.0.20348.0 bis vor 10.0.20348.5870
• Windows Server 2025 und Windows Server 2025 (Installation als Server Core): 10.0.26100.0 bis vor 10.0.26100.33822

Behoben in

• Sicherheitsupdate vom November 2026. KB-Nummer: Unbekannt.
• Das Update vom November 2026 installieren oder einen späteren Build, dessen Buildnummer mindestens den oben genannten Fixversionen entspricht.

Umgehung

Unbekannt. Für diese CVE wurde kein spezifischer Workaround veröffentlicht.

• Bis zur Behebung den Netzwerkzugriff auf WDS- und TFTP-Dienste einschränken und die WDS-Rolle deaktivieren, sofern sie nicht benötigt wird. Microsoft hat diese Massnahme für diese CVE nicht bestätigt.

Ausnutzung

• Zum Zeitpunkt der Analyse ist keine Ausnutzung in freier Wildbahn bekannt.
• Es ist kein öffentlicher Proof of Concept bekannt.
• CISA SSVC: Ausnutzung keine, nicht automatisierbar, technische Auswirkung total.
• Reifegrad des Exploit-Codes: unbewiesen (E:U).

Unsere Empfehlung

• Alle WDS-Server inventarisieren, einschliesslich Lab- und Testsysteme.
• Das Sicherheitsupdate vom November 2026 auf allen betroffenen Servern installieren und die Buildnummer prüfen.
• WDS- und TFTP-Verkehr aus nicht vertrauenswürdigen Netzen blockieren und die Rolle deaktivieren, sofern sie nicht benötigt wird.
• Auf ungewöhnlichen Deployment- oder PXE-Verkehr achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-119951 msrc.microsoft.com
• CVE.org record CVE-2026-119951 www.cve.org
• Strix: CVE-2026-119951 www.strix.ai
• Zero Day Initiative: November 2026 security update review www.zerodayinitiative.com
• Qualys: Microsoft Patch Tuesday November 2026 review blog.qualys.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 01:41.