Windows Internet Information Services: Remote Code Execution durch Race Condition

Zusammenfassung

Eine Race Condition (CWE-362, CWE-416) in Windows Internet Information Services (IIS) erlaubt einem Angreifer, über das Netzwerk Code auszuführen. Der CVE-Eintrag bewertet den CVSS-Score mit 8.1 und einer hohen Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit. Laut CVE-Eintrag sind keine Berechtigungen nötig, die Angriffskomplexität ist jedoch hoch und die NVD-Analyse steht noch aus.

Betroffen

• Windows 10 Version 1607 (10.0.14393.0 bis vor 10.0.14393.9688)
• Windows 10 Version 1809 (10.0.17763.0 bis vor 10.0.17763.9487)
• Windows 10 Version 21H2 (10.0.19044.0 bis vor 10.0.19044.7846)
• Windows 10 Version 22H2 (10.0.19045.0 bis vor 10.0.19045.7846)
• Windows 11 Version 23H2 (10.0.22631.0 bis vor 10.0.22631.7711)
• Windows 11 Version 24H2 (10.0.26100.0 bis vor 10.0.26100.9974)
• Windows 11 Version 25H2 (10.0.26200.0 bis vor 10.0.26200.9974)
• Windows 11 Version 26H1 (10.0.28000.0 bis vor 10.0.28000.3501)
• Windows 11 Version 26H2 (10.0.26300.0 bis vor 10.0.26300.9974)
• Windows Server 2016, inklusive Server Core (10.0.14393.0 bis vor 10.0.14393.9688)
• Windows Server 2019, inklusive Server Core (10.0.17763.0 bis vor 10.0.17763.9487)
• Windows Server 2022 (10.0.20348.0 bis vor 10.0.20348.5870)

Behoben in

• Sicherheitsupdate aus dem Patch Tuesday von Microsoft im November 2026 (veröffentlicht am 2026-11-10).
• Korrigierte Builds laut CVE-Eintrag: 10.0.14393.9688 (1607/Server 2016), 10.0.17763.9487 (1809/Server 2019), 10.0.19044.7846 (21H2).
• Korrigierte Builds für andere Produkte stammen aus Sekundärquellen und müssen im MSRC Security Update Guide überprüft werden.

Umgehung

• Unbekannt. Es wurde keine vom Hersteller dokumentierte Zwischenlösung gefunden.
• Bis zur Installation des Patches den Internetzugriff auf IIS einschränken.

Ausnutzung

• Zum Zeitpunkt der Erstellung ist keine Ausnutzung in freier Wildbahn bestätigt (CISA SSVC: Exploitation none).
• Der CVSS-Vektor verwendet die Exploit-Reife E:U (nicht nachgewiesen).
• Es wurde kein öffentlicher Proof of Concept und kein Exploit-Code gefunden.

Unsere Empfehlung

• IIS-Server auf betroffenen Windows-Builds zuerst patchen, mit Priorität auf Internet-erreichbare Server.
• Vor der Verteilung die korrigierte Build-Version und die KB-Nummer je Produkt im MSRC Security Update Guide prüfen.
• Den Internetzugriff auf IIS bis zum Patch einschränken und prüfen, auf welchen Servern IIS läuft.
• IIS-Logs überwachen, auf Anzeichen einer Ausnutzung achten und eine mögliche Änderung der NVD-Bewertung einplanen (Berechtigungsanforderung ist noch offen).

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide msrc.microsoft.com
• CVE.org CVE Record www.cve.org
• Qualys Patch Tuesday review, November 2026 blog.qualys.com
• Zero Day Initiative November 2026 review www.zerodayinitiative.com
• Strix.ai CVE entry (secondary, verify) www.strix.ai
• Senserva KB5132059 (third-party, verify) senserva.com
• Senserva KB5131096 (third-party, verify) senserva.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 01:37.