Windows Server: Use-after-free im Remote Desktop Gateway Service
Zusammenfassung
Eine Use-after-free-Schwachstelle im Remote Desktop Gateway Service von Windows Server erlaubt einem Angreifer, Code auszuführen. Gemäss CVSS-Vektor ist lokaler Zugriff nötig und die Angriffskomplexität ist hoch, es sind jedoch keine Berechtigungen oder Benutzerinteraktionen erforderlich. Ein Angreifer mit einem Zugriffspunkt auf einem betroffenen Server könnte das System übernehmen, die Schwachstelle ist jedoch nicht direkt aus dem Internet erreichbar. Microsoft meldet bisher keine öffentliche Offenlegung und keine Ausnutzung.
Betroffen
- Windows Server 2016 und 2016 Server Core: vor 10.0.14393.9688
- Windows Server 2019 und 2019 Server Core: vor 10.0.17763.9487
- Windows Server 2022: vor 10.0.20348.5870 (gemäss Drittanbieter-Tracker, im Microsoft-Eintrag nicht verifiziert)
- Windows Server 2025 und 2025 Server Core: vor 10.0.26100.33822 (gemäss Drittanbieter-Tracker, nicht verifiziert)
- Windows 10, Windows 11 und Client-Editionen: Unbekannt.
Behoben in
- Das aktuelle kumulative Sicherheitsupdate für jeden betroffenen Build aus dem Microsoft Security Update Guide installieren.
- KB-Artikelnummern: Unbekannt.
Umgehung
Unbekannt.
Ausnutzung
- Microsoft: nicht öffentlich offengelegt, nicht ausgenutzt, Ausnutzbarkeit als Exploitation Less Likely eingestuft, Exploit-Reife Unproven.
- Zum Zeitpunkt der Recherche wurde kein öffentlicher Proof of Concept und kein Eintrag im CISA KEV-Katalog gefunden.
Unsere Empfehlung
- Alle betroffenen Windows-Server-Systeme mit Remote Desktop Gateway patchen, zuerst die aus dem Internet erreichbaren Gateways.
- Build-Nummern von Server 2022 und Server 2025 vor dem Rollout mit dem Microsoft-Eintrag abgleichen.
- Falls RD Gateway nicht verwendet wird, die Rolle deaktivieren.
- Falls es verwendet wird, den Zugriff auf das Gateway einschränken und es auf verdächtige Aktivitäten überwachen.
Angaben von Microsoft (Patch Tuesday November 2026)
- Schweregrad (Microsoft)
- Hoch
- Auswirkung
- Remotecodeausführung – Remote Desktop Gateway Service
- Stand am Patch Tuesday
- Weder ausgenutzt noch öffentlich bekannt
- Einschätzung der Ausnutzbarkeit
- Ausnutzung weniger wahrscheinlich
- Produktfamilie
- Windows, Windows ESU (erweiterte Sicherheitsupdates)
- Updates (KB)
- KB5131085, KB5131090, KB5131080, KB5131077, KB5131291
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Microsoft Security Update Guide: CVE-2026-69327 msrc.microsoft.com
- CVE.org record CVE-2026-69327 www.cve.org
- Strix CVE-2026-69327 (third-party) www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 06:17.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.