Microsoft Windows Message Queuing: Use-after-free ermöglicht Remote Code Execution
Zusammenfassung
Eine Use-after-free-Schwachstelle (CWE-416) im Queue Manager von Windows Message Queuing erlaubt einem nicht autorisierten Angreifer, über das Netzwerk Code auszuführen. Es sind keine Berechtigungen und keine Benutzerinteraktion nötig, die Angriffskomplexität ist jedoch hoch. Message Queuing ist eine optionale Windows-Komponente, daher hängt die Gefährdung davon ab, ob sie installiert und erreichbar ist.
Betroffen
- Windows 10 Version 1607 (unter 10.0.14393.9688)
- Windows 10 Version 1809 (unter 10.0.17763.9487)
- Windows 10 Version 21H2 (unter 10.0.19044.7846)
- Windows 10 Version 22H2 (unter 10.0.19045.7846)
- Windows 11 Version 23H2 (unter 10.0.22631.7711)
- Windows 11 Version 24H2 (unter 10.0.26100.9974)
- Windows 11 Version 25H2 (unter 10.0.26200.9974)
- Windows 11 Version 26H1 (unter 10.0.28000.3501)
- Windows 11 Version 26H2 (unter 10.0.26300.9974)
- Windows Server 2016, inklusive Server Core (unter 10.0.14393.9688)
- Windows Server 2019, inklusive Server Core (unter 10.0.17763.9487)
- Windows Server 2022 (unter 10.0.20348.5870)
Behoben in
- Sicherheitsupdate aus dem Patch Tuesday vom November 2026, mit den oben aufgeführten korrigierten Builds.
Umgehung
- Unbekannt.
- Das optionale MSMQ-Feature zu entfernen, wenn es nicht genutzt wird, reduziert die Gefährdung (allgemeine Empfehlung, vom Hersteller nicht bestätigt).
Ausnutzung
- Nicht bekannt, dass die Schwachstelle aktiv ausgenutzt wird.
- CISA-SSVC-Bewertung: Exploitation none, Automatable no, Technical Impact total.
- Kein öffentlicher Proof-of-Concept gefunden.
Unsere Empfehlung
- Windows-Systeme, einschliesslich Server, auf das Message-Queuing-Feature prüfen.
- MSMQ entfernen, wo es nicht benötigt wird.
- Das kumulative Sicherheitsupdate vom November 2026 auf Systemen einspielen, auf denen MSMQ genutzt wird, zuerst auf Systemen, die aus nicht vertrauenswürdigen Netzwerken erreichbar sind.
- Die Liste der betroffenen Produkte erneut prüfen, sobald NVD und MSRC sie finalisiert haben.
Angaben von Microsoft (Patch Tuesday November 2026)
- Schweregrad (Microsoft)
- Kritisch
- Auswirkung
- Remotecodeausführung – Windows Message Queuing Queue Manager
- Stand am Patch Tuesday
- Weder ausgenutzt noch öffentlich bekannt
- Einschätzung der Ausnutzbarkeit
- Ausnutzung weniger wahrscheinlich
- Produktfamilie
- Windows, Windows ESU (erweiterte Sicherheitsupdates)
- Updates (KB)
- KB5131291, KB5131085, KB5131096, KB5131090, KB5131087, KB5132061
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Microsoft Security Update Guide: CVE-2026-119967 msrc.microsoft.com
- CVE.org record CVE-2026-119967 www.cve.org
- ZDI November 2026 security update review thezdi.com
- Qualys Patch Tuesday November 2026 review blog.qualys.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 01:36.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.