Windows Remote Desktop Services: Use-after-free im Remote Desktop Gateway Service

Zusammenfassung

Ein Use-after-free-Fehler im Remote Desktop Gateway Service der Windows-Server-Remote-Desktop-Services erlaubt es einem Angreifer, Code auf dem betroffenen Server auszuführen. Laut CVE-Eintrag handelt es sich um einen lokalen Angriff, der ein berechtigtes Konto mit niedrigen Privilegien auf dem Server voraussetzt; die Angriffskomplexität ist hoch und es ist keine Benutzerinteraktion nötig. Microsofts offizieller Titel spricht von einer Remote Code Execution Schwachstelle, die Beschreibung und der CVSS-Vektor (AV:L) deuten jedoch auf einen lokalen Angriff hin. Der CVSS-Wert beträgt 7.0 (hoch), und NVD hat die CVE noch nicht analysiert.

Betroffen

• Windows Server 2016 und Server-Core-Installation: 10.0.14393.0 bis vor 10.0.14393.9688
• Windows Server 2019 und Server-Core-Installation: 10.0.17763.0 bis vor 10.0.17763.9487
• Windows Server 2022: 10.0.20348.0 bis vor 10.0.20348.5870 (im CVE-Eintrag aufgeführt, auf MSRC prüfen)
• Windows Server 2025 und Server-Core-Installation: 10.0.26100.0 bis vor 10.0.26100.33822 (im CVE-Eintrag aufgeführt, auf MSRC prüfen)

Behoben in

• Korrigierte Builds gemäss CVE-Eintrag: 10.0.14393.9688, 10.0.17763.9487, 10.0.20348.5870, 10.0.26100.33822 und neuer
• Genaue KB-Nummern pro Windows-Version: Unbekannt. Im MSRC-Advisory prüfen.

Umgehung

Unbekannt.

Ausnutzung

• Die Daten von Microsoft kennzeichnen die Schwachstelle als nicht ausgenutzt und nicht öffentlich bekannt, mit der Ausnutzbarkeit 'Exploitation Less Likely'.
• CISA SSVC führt die Ausnutzung als 'none' und die Automatisierbarkeit als 'no'.
• Kein öffentlicher Proof of Concept gefunden. Ein Eintrag im KEV-Katalog wurde nicht direkt geprüft.

Unsere Empfehlung

• Das Microsoft-Sicherheitsupdate für die betroffene Windows-Server-Version auf Servern mit der Rolle Remote Desktop Gateway installieren, zuerst auf den aus dem Internet erreichbaren.
• Das Update zuerst auf einem Nicht-Produktivsystem testen, da ein Drittbericht Verbindungsabbrüche bei Remote Desktop Services nach aktuellen kumulativen Updates beschreibt.
• Lokale Anmeldungen auf vertrauenswürdige Administratoren beschränken und Konten auf RD-Gateway-Servern überprüfen.
• KEV-Katalog und NVD auf Aktualisierungen zu dieser CVE prüfen.
• Die Priorität ist für KMU, die RD Gateway publizieren, mittel bis hoch, für Server ohne RD Gateway tiefer.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-69565 msrc.microsoft.com
• CVE Record: CVE-2026-69565 www.cve.org
• Microsoft Learn: Remote Desktop Services roles learn.microsoft.com
• Strix: CVE-2026-69565 (third-party mirror, unverified) www.strix.ai
• CISA Known Exploited Vulnerabilities catalog bulletin www.cisa.gov

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 08:16.