Microsoft Windows iSCSI: Heap-based buffer overflow ermöglicht Remote Code Execution

Zusammenfassung

Ein Heap-based Buffer Overflow in der Windows-iSCSI-Komponente erlaubt einem nicht autorisierten Angreifer aus dem Netzwerk, Code auszuführen. Es sind keine Berechtigungen und keine Benutzerinteraktion erforderlich, der CVSS-Basiswert beträgt 9.8 (kritisch). Das Risiko betrifft vor allem Systeme mit erreichbarem iSCSI-Listener, insbesondere Windows-Server mit iSCSI-Target-Rolle in unvertrauenswürdigen Netzwerken. Interner iSCSI-Verkehr in einem segmentierten SAN ist weniger gefährdet.

Betroffen

• Windows 10 Version 1607 (10.0.14393.0 bis vor 10.0.14393.9612)
• Windows 10 Version 1809 (10.0.17763.0 bis vor 10.0.17763.9376)
• Windows 10 Version 21H2 (10.0.19044.0 bis vor 10.0.19044.7807)
• Windows 10 Version 22H2 (10.0.19045.0 bis vor 10.0.19045.7807)
• Windows 11 Version 23H2 (10.0.22631.0 bis vor 10.0.22631.7652)
• Windows 11 Version 24H2 (10.0.26100.0 bis vor 10.0.26100.9711)
• Windows 11 Version 25H2 (10.0.26200.0 bis vor 10.0.26200.9711)
• Windows 11 Version 26H1 (10.0.28000.0 bis vor 10.0.28000.3231)
• Windows 11 Version 26H2 (10.0.26300.0 bis vor 10.0.26300.9711)
• Windows Server 2012 und Server-Core-Installation (6.2.9200.0 bis vor 6.2.9200.26434)
• Windows Server 2012 R2 und Server-Core-Installation (6.3.9600.0 bis vor 6.3.9600.23470)
• Windows Server 2016 (10.0.14393.0 bis vor 10.0.14393.9612)

Hinweis: Die CVE-Meldung enthält diese Bereiche; die vollständige Versionstabelle ist auf MSRC zu prüfen.

Behoben in

• Windows 10 Version 1607: 10.0.14393.9612
• Windows 10 Version 1809: 10.0.17763.9376
• Windows 10 Version 21H2: 10.0.19044.7807
• Windows 10 Version 22H2: 10.0.19045.7807
• Windows 11 Version 23H2: 10.0.22631.7652
• Windows 11 Version 24H2 und 25H2, Windows 11 Version 26H2: 10.0.26100.9711 und 10.0.26200.9711 und 10.0.26300.9711
• Windows 11 Version 26H1: 10.0.28000.3231
• Windows Server 2012: 6.2.9200.26434
• Windows Server 2012 R2: 6.3.9600.23470
• Windows Server 2016: 10.0.14393.9612

Quelle: Microsoft-Update vom 13. Oktober 2026.

Umgehung

Unbekannt.

• In den geprüften Quellen wurde kein Workaround des Herstellers identifiziert.
• Generische Massnahme (nicht vom Hersteller): TCP-Port 3260 an der Firewall für Hosts blockieren, die kein iSCSI benötigen.
• Die iSCSI-Target-Server-Rolle beziehungsweise den iSCSI-Initiator-Dienst deaktivieren, wo sie nicht genutzt werden.

Ausnutzung

• Aktive Ausnutzung: In den geprüften Quellen wurden keine Hinweise gefunden. Der CISA-KEV-Katalog wurde nicht direkt geprüft.
• CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
• Temporaler Score von Microsoft: E:U (keine bekannte Ausnutzung), RL:O, RC:C.
• Öffentlicher Proof of Concept: keiner gefunden.
• EPSS: 0.0079 (niedrig).

Unsere Empfehlung

• Alle Windows-Systeme mit aktiviertem iSCSI identifizieren, einschliesslich Initiator- und Target-Rollen, und auf jedem Host die Build-Nummer prüfen.
• Windows 10 Version 1607 und andere End-of-Life-Systeme priorisieren und prüfen, ob sie noch Sicherheitsupdates über ESU oder einen anderen Kanal erhalten. Falls nicht, isolieren oder ersetzen.
• Aus dem Internet erreichbare iSCSI-Targets sofort einschränken oder entfernen und TCP-Port 3260 aus unvertrauenswürdigen Netzwerken blockieren.
• Das Sicherheitsupdate vom 13. Oktober 2026 im nächsten Patch-Zyklus auf allen betroffenen Hosts installieren.
• Bis zur Installation auf ungewöhnlichen iSCSI-Verkehr und Abstürze des iSCSI-Dienstes achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide: CVE-2026-69634 msrc.microsoft.com
• MSRC Security Update Guide (en-US): CVE-2026-69634 msrc.microsoft.com
• Strix: CVE-2026-69634 www.strix.ai
• VulDB: CVE-2026-69634 (exploit price estimate) vuldb.com
• Vulners NVD: CVE-2026-69634 vulners.com
• OpenCVE: CVE-2026-69634 app.opencve.io
• Senserva Patch Tuesday senserva.com
• Zecurit Patch Tuesday zecurit.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 18:52.