Windows Network Connected Devices Auto-Setup: Remote Code Execution

Zusammenfassung

Ein heap-basierter Pufferüberlauf im Dienst Windows Network Connected Devices Auto-Setup erlaubt einem nicht authentifizierten Angreifer im gleichen benachbarten Netzwerk, Code auszuführen. Es ist keine Benutzerinteraktion nötig, und der CVSS-Wert liegt bei 8.8 (hoch). Der Dienst ist nicht aus dem Internet erreichbar; unter Windows 10 startet er nur, wenn ein Benutzer, eine Anwendung oder ein anderer Dienst ihn anfordert, weshalb die Exponierung davon abhängt, ob er aktiv ist.

Betroffen

• Microsoft Windows 10 Version 1607: 10.0.14393.0 bis vor 10.0.14393.9688
• Microsoft Windows 10 Version 1809: 10.0.17763.0 bis vor 10.0.17763.9487
• Microsoft Windows 10 Version 21H2: 10.0.19044.0 bis vor 10.0.19044.7846
• Microsoft Windows 10 Version 22H2: 10.0.19045.0 bis vor 10.0.19045.7846
• Microsoft Windows 11 Version 23H2: 10.0.22631.0 bis vor 10.0.22631.7711
• Microsoft Windows 11 Version 24H2: 10.0.26100.0 bis vor 10.0.26100.9974
• Microsoft Windows 11 Version 25H2: 10.0.26200.0 bis vor 10.0.26200.9974
• Microsoft Windows 11 Version 26H1: 10.0.28000.0 bis vor 10.0.28000.3501
• Microsoft Windows 11 Version 26H2: 10.0.26300.0 bis vor 10.0.26300.9974
• Windows-Server-Editionen: Unbekannt.

Behoben in

• Sicherheitsupdate veröffentlicht am Patch Tuesday, 10. November 2026 (die korrigierten Builds entsprechen den oben aufgeführten oberen Grenzen gemäss CVE-Eintrag; auf der MSRC-Seite bestätigen)
• KB-Artikelnummern: Unbekannt.

Umgehung

• Keine Herstellermassnahme bekannt.
• Mögliche Übergangsmassnahme (nicht vom Hersteller bestätigt, zuerst testen): Den Dienst Network Connected Devices Auto-Setup (NcdAutoSetup) anhalten und deaktivieren. Damit wird die automatische Erkennung und Installation netzwerkverbundener Geräte gestoppt; Geräte können weiterhin manuell hinzugefügt werden.
• Begrenzen, welche Geräte mit Windows-Endgeräten im gleichen LAN-Segment liegen, und Client-Isolation im Gäste-WLAN aktivieren.

Ausnutzung

• In den geprüften Quellen wurde keine Ausnutzung in freier Wildbahn gefunden. Der CISA-KEV-Katalog wurde nicht geprüft.
• Kein öffentlicher Proof-of-Concept gefunden.

Unsere Empfehlung

• Betroffene Windows-Systeme patchen, zuerst Geräte in gemeinsam genutzten LANs sowie Windows 10 1607 und 1809. Prüfen, ob diese Versionen noch Updates erhalten.
• Korrigierte Builds und die Exponierung von Servern auf der MSRC-Seite bestätigen.
• Falls das Patchen verzögert wird, den Dienst NcdAutoSetup dort deaktivieren, wo er nicht benötigt wird, nach vorgängigem Test.
• Netzwerke segmentieren und Gäste-WLAN isolieren, um den Zugriff aus dem benachbarten Netzwerk zu begrenzen.
• Nach Abschluss der Analyse den CISA-KEV-Katalog und die NVD prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Response Center: CVE-2026-125136 msrc.microsoft.com
• strix.ai: CVE-2026-125136 (secondary source) www.strix.ai
• Cryptika: Microsoft November 2026 Patch Tuesday www.cryptika.com
• batcmd.com: NcdAutoSetup service (Windows 10) batcmd.com
• revertservice.com: NcdAutoSetup service revertservice.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 21:06.