Microsoft Windows iSCSI: Use-after-free führt zu Remote Code Execution

Zusammenfassung

Eine Use-after-free-Schwachstelle (CWE-416) in der Windows-iSCSI-Komponente erlaubt einem nicht authentifizierten Angreifer, über das Netzwerk Code auszuführen. Der CVSS-Basiswert beträgt 9.8 (kritisch), mit niedriger Angriffskomplexität und ohne Benutzerinteraktion. Ein Risiko besteht nur auf Windows-Systemen, auf denen iSCSI in einem vom Angreifer erreichbaren Netzwerk lauscht.

Betroffen

• Windows 10 Version 1607 (10.0.14393.0 bis vor 10.0.14393.9612)
• Windows 10 Version 1809 (10.0.17763.0 bis vor 10.0.17763.9376)
• Windows 10 Version 21H2 (10.0.19044.0 bis vor 10.0.19044.7807)
• Windows 10 Version 22H2 (10.0.19045.0 bis vor 10.0.19045.7807)
• Windows 11 Version 23H2 (10.0.22631.0 bis vor 10.0.22631.7652)
• Windows 11 Version 24H2 (10.0.26100.0 bis vor 10.0.26100.9711)
• Windows 11 Version 25H2 (10.0.26200.0 bis vor 10.0.26200.9711)
• Windows 11 Version 26H1 (10.0.28000.0 bis vor 10.0.28000.3231)
• Windows 11 Version 26H2 (10.0.26300.0 bis vor 10.0.26300.9711)
• Windows Server 2012 und Server-Core-Installation (6.2.9200.0 bis vor 6.2.9200.26434)
• Windows Server 2012 R2 und Server-Core-Installation (6.3.9600.0 bis vor 6.3.9600.23470)
• Windows Server 2016 (10.0.14393.0 bis vor 10.0.14393.9612)
• Windows Server 2019, 2022 und 2025: Unbekannt gemäss CNA-Eintrag; bei Microsoft prüfen.

Behoben in

• Gemäss offiziellem CVE-Eintrag sind die ersten korrigierten Builds: 10.0.14393.9612 (1607, Server 2016), 10.0.17763.9376 (1809), 10.0.19044.7807 (21H2), 10.0.19045.7807 (22H2), 10.0.22631.7652 (23H2), 10.0.26100.9711 (24H2), 10.0.26200.9711 (25H2), 10.0.28000.3231 (26H1), 10.0.26300.9711 (26H2), 6.2.9200.26434 (Server 2012), 6.3.9600.23470 (Server 2012 R2).
• Microsoft KB5127648 (Release vom 13. Oktober 2026) wird für die Builds 26300.9711, 26200.9711 und 26100.9711 genannt. Unbekannt: die genaue KB und der Build für Windows 10 1607 und Server 2012; diese sind dem MSRC-Advisory zu entnehmen.

Umgehung

• Kein offizieller Workaround von Microsoft gefunden.
• iSCSI-Dienst auf Systemen deaktivieren, die ihn nicht benötigen.
• TCP-Port 3260 (Standard für iSCSI) auf das Storage-Netzwerk oder vertrauenswürdige Hosts beschränken und am Perimeter blockieren.

Ausnutzung

• Microsoft stuft die Reife des Exploit-Codes als nicht nachgewiesen (E:U) ein; es ist kein bekannter Exploit-Code gemeldet.
• CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung total.
• EPSS beträgt 0.0079 (unter 1%).
• In den geprüften Quellen nicht als aktiv ausgenutzt (KEV) gelistet; den CISA-Katalog regelmässig prüfen.
• In den Recherchen wurde kein öffentlicher Proof of Concept gefunden; das Fehlen in Suchergebnissen ist kein Beweis.
• Ausnutzung in freier Wildbahn: keine bekannt.

Unsere Empfehlung

• Das Sicherheitsupdate vom Oktober 2026 auf allen betroffenen Windows-Systemen installieren, mit Priorität auf Servern und älteren Builds (1607, Server 2012).
• Prüfen, ob 1607 und Server 2012 noch unterstützt werden; falls nicht, ein Upgrade statt eines Patches planen.
• Hosts identifizieren, die auf TCP 3260 lauschen, und iSCSI auf Systemen deaktivieren, auf denen er nicht benötigt wird.
• iSCSI-Verkehr auf dedizierte Storage-Netzwerke beschränken und aus dem Internet blockieren.
• Ungewöhnlichen iSCSI-Verkehr und öffentlichen Exploit-Code überwachen sowie den KEV-Status regelmässig prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-69883 msrc.microsoft.com
• Microsoft Security Update Guide (en-US): CVE-2026-69883 msrc.microsoft.com
• NVD record via Vulners vulners.com
• Strix CVE details www.strix.ai
• OpenCVE CVE details app.opencve.io
• Rapid7 via Vulners (EPSS) vulners.com
• Senserva: Patch Tuesday October 2026 senserva.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 18:50.