Microsoft Windows Message Queuing: Remote Code Execution durch Double Free

Zusammenfassung

Eine Double-Free-Schwachstelle in Windows Message Queuing (MSMQ) erlaubt einem nicht autorisierten Angreifer, über das Netzwerk Code auszuführen. Der CVSS-Vektor bewertet die Angriffskomplexität als hoch, und es ist keine Benutzerinteraktion nötig. Systeme ohne installiertes MSMQ sind nicht betroffen, und die MSMQ-Funktion ist standardmässig nicht aktiviert. Zur Frage, ob ein Konto mit niedrigen Rechten nötig ist, bestehen widersprüchliche Angaben, weshalb bis zur Bestätigung durch Microsoft vom ungünstigeren Fall ausgegangen werden sollte.

Betroffen

• Windows 10 Version 1607: vor 10.0.14393.9688
• Windows 10 Version 1809: vor 10.0.17763.9487
• Windows 10 Version 21H2: vor 10.0.19044.7846
• Windows 10 Version 22H2: Unbekannt (Versionsbereich nicht bestätigt)
• Windows 11 Version 23H2: vor 10.0.22631.7711
• Windows 11 Version 24H2: vor 10.0.26100.9974
• Windows 11 Version 25H2: vor 10.0.26200.9974
• Windows 11 Version 26H1: vor 10.0.28000.3501
• Windows 11 Version 26H2: vor 10.0.26300.9974
• Windows Server 2016 (inklusive Server Core): vor 10.0.14393.9688
• Windows Server 2019 (inklusive Server Core): vor 10.0.17763.9487
• Windows Server 2022: vor 10.0.20348.5870

Behoben in

• Behoben in den kumulativen Sicherheitsupdates von Microsoft vom November 2026.
• Genaue KB-Nummer pro Betriebssystem: im MSRC-Advisory prüfen.

Umgehung

• Microsoft hat keinen verifizierbaren offiziellen Workaround veröffentlicht.
• Falls MSMQ nicht benötigt wird, die Funktion entfernen oder den MSMQ-Dienst deaktivieren.
• Falls MSMQ benötigt wird, den Zugriff auf dessen Ports (standardmässig TCP 1801) auf bekannte Anwendungsserver beschränken.
• Änderungen zuerst testen, da abhängige .NET- oder Fachanwendungen ausfallen können.

Ausnutzung

• Keine Ausnutzung in freier Wildbahn gemeldet.
• Kein öffentlicher Proof of Concept gefunden; der Status ist unbekannt und nicht als nicht vorhanden bestätigt.
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.

Unsere Empfehlung

• Prüfen, ob MSMQ installiert und erreichbar ist (Get-WindowsOptionalFeature -Online -FeatureName MSMQ-Container und Get-Service MSMQ).
• Das Sicherheitsupdate vom November 2026 auf betroffenen Systemen installieren, Server und Systeme mit Erreichbarkeit aus unsicheren Netzen zuerst, im nächsten Wartungsfenster.
• Falls das Patchen verzögert wird, die oben genannten Workarounds anwenden.
• Auf Berichte zu Ausnutzung und auf die Bestätigung der Berechtigungsanforderung durch Microsoft achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide msrc.microsoft.com
• CVE.org CVE Record www.cve.org
• ZDI November 2026 security update review www.thezdi.com
• Microsoft Learn: MS-MQRR overview learn.microsoft.com
• Senserva KB 5132059 senserva.com
• Strix AI CVE-2026-119964 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 01:36.