Microsoft Defender: Remote Code Execution durch Null-Pointer-Dereferenzierung

Zusammenfassung

Eine Null-Pointer-Dereferenzierung in der Microsoft Malware Protection Engine, die Microsoft Defender antreibt, erlaubt einem nicht authentifizierten Angreifer, über das Netzwerk Code auszuführen. Laut CVE-Eintrag ist eine Benutzerinteraktion nötig, etwa wenn die Scan-Engine von einem Angreifer bereitgestellte Inhalte verarbeitet. Die Engine ist auf den meisten Windows-Endgeräten vorhanden, daher sind KMU mit unverwalteten oder offline betriebenen Systemen am stärksten gefährdet. Die Schweregradbewertung von Microsoft ist noch nicht bestätigt; der CVE-Eintrag nennt CVSS 8.8.

Betroffen

• Microsoft Malware Protection Engine ab 1.1.0.0 vor 1.1.26100.4
• Verwendet von Microsoft Defender und System Center Endpoint Protection

Behoben in

• Malware Protection Engine 1.1.26100.4 oder neuer
• Veröffentlichungsdatum nicht bestätigt; auf dem MSRC-Advisory prüfen

Umgehung

• Unbekannt. Es ist kein Workaround bekannt; die Aktualisierung der Engine ist die Massnahme.

Ausnutzung

• In freier Wildbahn: keine Hinweise gefunden; nicht im CISA-KEV-Katalog bestätigt (nicht direkt geprüft).
• Öffentlicher Proof of Concept: Unbekannt.
• Der CVSS-Vektor enthält E:U (Reifegrad des Exploits nicht nachgewiesen).

Unsere Empfehlung

• Die Engine-Version auf allen Windows-Endgeräten prüfen, inklusive Servern und offline betriebenen Systemen, zum Beispiel mit Get-MpComputerStatus. Ziel ist 1.1.26100.4 oder neuer.
• Bei älteren Versionen ein Engine-Update erzwingen und sicherstellen, dass WSUS, Intune oder Firewall-Regeln Defender-Updates nicht blockieren.
• Das MSRC-Advisory auf die offizielle Schweregradbewertung und weitere Hinweise prüfen.
• NVD und CISA KEV in einigen Tagen erneut prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-122194 msrc.microsoft.com
• CVE Record CVE-2026-122194 www.cve.org
• Microsoft Defender Updates (Security Intelligence) www.microsoft.com
• Microsoft Defender Endpoint releases learn.microsoft.com
• CSO Online: Microsoft patches two zero-day flaws in Defender www.csoonline.com
• Cybersecurity News: Microsoft November 2026 Patch Tuesday cybersecuritynews.com
• Strix: CVE-2026-122194 www.strix.ai
• CISA alert: RCE vulnerability affecting Microsoft Defender (2021) www.cisa.gov

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 21:18.