Windows Message Queuing: Remote Code Execution durch Double Free

Zusammenfassung

Eine Double-Free-Schwachstelle (CWE-415) in Windows Message Queuing (MSMQ) erlaubt einem nicht authentifizierten Angreifer, über das Netzwerk Code auszuführen. Die Ausnutzung gilt laut CNA als komplex, der CVSS-Basiswert beträgt 8.1. Das Risiko besteht nur auf Systemen, auf denen MSMQ installiert und aus nicht vertrauenswürdigen Netzen erreichbar ist.

Betroffen

• Windows 10 Version 1607, 1809, 21H2, 22H2
• Windows 11 Version 23H2, 24H2, 25H2, 26H1, 26H2
• Windows Server 2016, 2019, 2022 (inklusive Server-Core-Installationen)

Quellen weichen bei einigen Produkten ab (zum Beispiel Windows 11 24H2/25H2 und Windows Server 2025). Die endgültige Liste ist im MSRC-Advisory zu prüfen.

Behoben in

• Behoben im Sicherheitsupdate vom November 2026.
• Behobene Builds gemäss CNA-Eintrag: 10.0.14393.9688 (Windows 10 1607, Server 2016), 10.0.17763.9487 (1809, Server 2019), 10.0.19044.7846 (21H2), 10.0.19045.7846 (22H2), 10.0.20348.5870 (Server 2022), 10.0.22631.7711 (23H2), 10.0.26100.9974 (24H2), 10.0.26200.9974 (25H2), 10.0.26300.9974 (26H2), 10.0.28000.3501 (26H1).

Die KB-Nummern für jeden Build sind auf MSRC zu prüfen.

Umgehung

• Kein vom Hersteller bestätigter Workaround.
• Provisorische Massnahmen, nicht von Microsoft bestätigt: MSMQ deaktivieren, falls es nicht benötigt wird; falls es benötigt wird, dessen Netzwerkports an der Perimeter und zwischen Netzsegmenten blockieren. Vor dem Rollout testen.

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn (Rapid7, Senserva).
• CISA SSVC: Ausnutzung keine, nicht automatisierbar, technische Auswirkung total.
• Kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Windows-Hosts inventarisieren und prüfen, ob MSMQ installiert ist und Verbindungen annimmt.
• Zuerst das Update vom November 2026 auf internetexponierten Servern und Servern in der Nähe von Domänencontrollern einspielen.
• MSMQ dort deaktivieren, wo es nicht benötigt wird; wo es benötigt wird, dessen Ports aus nicht vertrauenswürdigen Netzen blockieren.
• MSRC-Advisory und NVD erneut prüfen, da der NVD-Status bei der Veröffentlichung Awaiting Analysis war.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide (MSRC) msrc.microsoft.com
• CVE.org CVE Record www.cve.org
• Rapid7 Patch Tuesday November 2026 www.rapid7.com
• Senserva KB 5132061 senserva.com
• Qualys Patch Tuesday November 2026 review blog.qualys.com
• Zero Day Initiative November 2026 security update review www.zerodayinitiative.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 01:38.