Windows SMB: Remote Code Execution durch Heap-basierten Pufferüberlauf

Zusammenfassung

Ein Heap-basierter Pufferüberlauf im Windows-SMB-Protokoll für Dateifreigaben erlaubt die Ausführung von Code über das Netzwerk. Der Angreifer muss zuerst über ein gültiges Konto mit niedrigen Rechten verfügen. Bei erfolgreicher Ausnutzung kann er einen betroffenen Server oder Arbeitsplatzrechner vollständig übernehmen.

Betroffen

• Windows 10 Version 1607, 1809, 21H2 und 22H2
• Windows 11 Version 23H2, 24H2, 25H2, 26H1 und 26H2
• Windows Server 2016, 2019 und 2022 (inklusive Server-Core-Installationen)
• Genaue betroffene Build-Bereiche: siehe Microsoft Security Update Guide, da die Quellen bei einigen Einträgen voneinander abweichen.

Behoben in

• Windows 10 1607: 10.0.14393.9688 oder neuer
• Windows 10 1809: 10.0.17763.9487 oder neuer
• Windows 10 21H2: 10.0.19044.7846 oder neuer
• Windows 10 22H2: 10.0.19045.7846 oder neuer
• Windows 11 23H2: 10.0.22631.7711 oder neuer
• Windows 11 24H2, 25H2 und 26H2: 10.0.26100.9974 oder neuer (25H2/26H2-Build-Familie 10.0.26200.9974 bzw. 10.0.26300.9974)
• Windows 11 26H1: 10.0.28000.3501 oder neuer
• Windows Server 2016 und 2019: wie für die entsprechenden Windows-10-Builds oben
• Windows Server 2022: 10.0.20348.5870 oder neuer
• Die Korrekturen sind in den kumulativen Sicherheitsupdates vom November 2026 enthalten.

Umgehung

Unbekannt. Es wurde kein von Microsoft dokumentierter Workaround gefunden. Bis zur Korrektur gelten allgemeine SMB-Massnahmen: TCP 445 an der Perimeter-Firewall blockieren, SMB auf die benötigten internen Segmente beschränken und SMBv1 deaktivieren, sofern es noch verwendet wird. Diese Massnahmen sind allgemeine Praxis und sollten anhand der Microsoft-Vorgaben überprüft werden.

Ausnutzung

• Zum Zeitpunkt der Veröffentlichung ist keine Ausnutzung in freier Wildbahn bekannt.
• Es wurde kein öffentlicher Proof of Concept gefunden.
• Der CNA stuft die Exploit-Reife als unbewiesen ein (E:U).
• Die NVD-Analyse war zum Zeitpunkt der Veröffentlichung noch ausstehend.

Unsere Empfehlung

• Das kumulative Sicherheitsupdate vom November 2026 auf allen betroffenen Windows-Clients und -Servern installieren, zuerst auf Dateiservern und Domain Controllern.
• Bis zur Korrektur TCP 445 an der Perimeter-Firewall blockieren und den SMB-Zugriff auf die benötigten internen Systeme beschränken.
• SMBv1 deaktivieren, sofern es noch verwendet wird.
• Vor dem Rollout im Microsoft Security Update Guide die genauen betroffenen Builds prüfen.
• Auf Meldungen zu Ausnutzung achten und die Priorität bei deren Auftreten neu beurteilen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-122176 msrc.microsoft.com
• CVE.org record: CVE-2026-122176 www.cve.org
• Strix: CVE-2026-122176 www.strix.ai
• Senserva: KB5131096 (November 2026 tracker) senserva.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 21:25.