Windows Remote Desktop Client: Use-after-free mit Remote Code Execution
Zusammenfassung
Ein Use-after-free-Fehler (CWE-416) im Remote Desktop Client von Windows ermöglicht Remote Code Execution. Betroffen sind Windows 10, Windows 11 sowie Windows Server 2012, 2012 R2 und 2016 mit Builds unterhalb der korrigierten Versionen. Microsoft stuft die Angriffskomplexität als hoch ein und setzt eine Benutzerinteraktion voraus, weshalb ein Angreifer in der Regel einen Benutzer dazu bringen muss, sich mit einem feindlichen oder kompromittierten RDP-Endpunkt zu verbinden. Der CVSS-Wert von Microsoft beträgt 7.5 (hoch).
Betroffen
- Windows 10 Version 1607 (10.0.14393.0 bis unterhalb 10.0.14393.9612)
- Windows 10 Version 1809 (10.0.17763.0 bis unterhalb 10.0.17763.9376)
- Windows 10 Version 21H2 (10.0.19044.0 bis unterhalb 10.0.19044.7807)
- Windows 10 Version 22H2 (10.0.19045.0 bis unterhalb 10.0.19045.7807)
- Windows 11 Version 23H2 (10.0.22631.0 bis unterhalb 10.0.22631.7652)
- Windows 11 Version 24H2 (10.0.26100.0 bis unterhalb 10.0.26100.9711)
- Windows 11 Version 25H2 (10.0.26200.0 bis unterhalb 10.0.26200.9711)
- Windows 11 Version 26H1 (10.0.28000.0 bis unterhalb 10.0.28000.3231)
- Windows 11 Version 26H2 (10.0.26300.0 bis unterhalb 10.0.26300.9711)
- Windows Server 2012 inkl. Server Core (6.2.9200.0 bis unterhalb 6.2.9200.26434)
- Windows Server 2012 R2 inkl. Server Core (6.3.9600.0 bis unterhalb 6.3.9600.23470)
- Windows Server 2016 (10.0.14393.0 bis unterhalb 10.0.14393.9612)
Behoben in
- Windows 10 Version 1607 / Server 2016: 10.0.14393.9612 (KB-Nummer unbekannt)
- Windows 10 Version 1809 / Server 2019: 10.0.17763.9376 (KB5126651)
- Windows 10 Version 21H2: 10.0.19044.7807
- Windows 10 Version 22H2: 10.0.19045.7807
- Windows 11 Version 23H2: 10.0.22631.7652
- Windows 11 Version 24H2 und 26H2: 10.0.26100.9711 bzw. 10.0.26300.9711
- Windows 11 Version 25H2: 10.0.26200.9711
- Windows 11 Version 26H1: 10.0.28000.3231
- Windows Server 2012: 6.2.9200.26434
- Windows Server 2012 R2: 6.3.9600.23470
- Server 2025: KB5126646
Unbekannt ist, ob Windows 10 Version 1607 diese Korrektur über den Standard-Support oder über ESU erhält.
Umgehung
Unbekannt. Microsoft stellt eine Korrektur bereit; es wurde kein vom Hersteller dokumentierter Workaround gefunden.
Ausnutzung
- Laut Microsoft zum Zeitpunkt der Veröffentlichung nicht ausgenutzt; die Ausnutzbarkeit wird als 'Exploitation Unlikely' eingestuft.
- Microsoft setzt für die Ausnutzung eine Benutzeraktion voraus.
- CISA SSVC: Ausnutzung none, nicht automatisierbar, totale technische Auswirkung.
- EPSS 0.00569 (niedrig).
- VulDB schätzt den Exploit-Preis auf USD 25'000 bis 100'000; dies ist eine Marktschätzung und kein beobachteter Exploit.
- Kein öffentlicher Proof of Concept gefunden; die Suche war nicht abschliessend.
Unsere Empfehlung
- Alle Windows-10-Hosts der Versionen 1607 und 1809 inventarisieren und prüfen, ob sie noch im Einsatz sind; Shop-, Produktions- und Kiosksysteme priorisieren.
- Die oben aufgeführten korrigierten Builds installieren; für Windows 10 Version 1607 KB-Nummer und Build auf der MSRC-Seite bestätigen sowie Lifecycle-Status und ESU-Optionen bei Microsoft prüfen.
- Aktuelle Windows-10- und Windows-11-Systeme im regulären Patch-Tuesday-Zyklus aktualisieren.
- Die Nutzung des RDP-Clients auf vertrauenswürdige Ziele beschränken und Benutzer schulen, sich nicht mit unbekannten RDP-Hosts zu verbinden.
- Ungewöhnliche RDP-Client-Verbindungen und Abstürze überwachen.
Angaben von Microsoft (Patch Tuesday Oktober 2026)
- Schweregrad (Microsoft)
- Hoch
- Auswirkung
- Remotecodeausführung – Remote Desktop Client
- Stand am Patch Tuesday
- Weder ausgenutzt noch öffentlich bekannt
- Einschätzung der Ausnutzbarkeit
- Ausnutzung unwahrscheinlich
- Produktfamilie
- Windows, Windows ESU (erweiterte Sicherheitsupdates)
- Updates (KB)
- KB5127648, KB5126651, KB5126655, KB5126657, KB5126646, KB5126653
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Microsoft Security Update Guide: CVE-2026-69976 msrc.microsoft.com
- CNA record (vulners mirror of cvelist) vulners.com
- NVD record (vulners mirror) vulners.com
- Rapid7 Windows advisory (vulners mirror) vulners.com
- VulDB entry 418293 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 19:26.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.