Windows iSCSI: Remote Code Execution durch Integer-Überlauf

Zusammenfassung

Ein Integer-Überlauf oder Wraparound (CWE-190) in der Windows-iSCSI-Komponente erlaubt die Ausführung von Code über das Netzwerk. Ein nicht autorisierter Angreifer kann dies ausnutzen, der CVSS-Vektor setzt jedoch eine Benutzerinteraktion voraus (UI:R). Relevant sind Systeme, die als iSCSI-Initiator oder -Target arbeiten; betroffen sind unter anderem Windows 10 Version 1607 und Windows Server 2016.

Betroffen

• Windows 10 Version 1607: 10.0.14393.0 bis vor 10.0.14393.9512
• Windows 10 Version 1809: 10.0.17763.0 bis vor 10.0.17763.9245
• Windows 10 Version 21H2: 10.0.19044.0 bis vor 10.0.19044.7725
• Windows 10 Version 22H2: 10.0.19045.0 bis vor 10.0.19045.7725
• Windows 11 Version 23H2: 10.0.22631.0 bis vor 10.0.22631.7582
• Windows 11 Version 24H2: 10.0.26100.0 bis vor 10.0.26100.9445
• Windows 11 Version 25H2: 10.0.26200.0 bis vor 10.0.26200.9445
• Windows 11 Version 26H1: 10.0.28000.0 bis vor 10.0.28000.2954
• Windows Server 2012 (inklusive Server Core): 6.2.9200.0 bis vor 6.2.9200.26349
• Windows Server 2012 R2 (inklusive Server Core): 6.3.9600.0 bis vor 6.3.9600.23398
• Windows Server 2016 (inklusive Server Core): 10.0.14393.0 bis vor 10.0.14393.9512

Behoben in

• Das Microsoft-Sicherheitsupdate installieren, das den Build mindestens auf die jeweils aufgeführte korrigierte Version bringt, zum Beispiel 10.0.14393.9512 für Windows 10 Version 1607 und Windows Server 2016.
• Die KB-Nummern für den Build von Windows 10 Version 1607 und Windows Server 2016 sind unbekannt; sie sind auf der MSRC-Seite zu bestätigen.

Umgehung

• Unbekannt aus den Microsoft-Daten in dieser Prüfung.
• Ein Drittanbieter-Aggregator empfiehlt, bei sofort nicht möglicher Patch-Installation die iSCSI-Initiator- oder Target-Dienste zu deaktivieren oder den TCP-Port 3260 zu blockieren. Dies wurde nicht gegen die Microsoft-Meldung verifiziert, und das Deaktivieren von iSCSI unterbricht Systeme, die darauf angewiesen sind.

Ausnutzung

• CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
• Nicht im KEV-Katalog der CISA gelistet; es ist keine bestätigte Ausnutzung bekannt.
• Kein öffentlicher Proof of Concept gefunden.
• Der EPSS-Wert ist niedrig (etwa 0.7 %, Momentaufnahme).

Unsere Empfehlung

• Systeme mit iSCSI-Initiator- oder Target-Rolle und deren Windows-Builds inventarisieren.
• Windows Server 2016- und Windows 10 Version 1607-Systeme auf Build 14393.9512 oder neuer patchen und die korrigierten Builds auf der MSRC-Seite überprüfen.
• TCP-Port 3260 an der Perimeter-Firewall blockieren und auf dedizierte Speichernetze beschränken.
• Prüfen, ob Windows 10 Version 1607 auf Ihren Geräten noch unterstützt wird, und bei fehlender Unterstützung eine Migration planen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-69521 msrc.microsoft.com
• Microsoft Security Update Guide (en-US): CVE-2026-69521 msrc.microsoft.com
• OpenCVE: CVE-2026-69521 app.opencve.io
• Vulners NVD: CVE-2026-69521 vulners.com
• Vulners MSCVE: MS:CVE-2026-69521 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 19:05.