Microsoft Remote Desktop Client: Use-after-free ermöglicht Remote Code Execution

Zusammenfassung

Ein Use-after-free-Fehler (CWE-416) im Windows Remote Desktop Client erlaubt einem nicht autorisierten Angreifer, über das Netzwerk Code auszuführen. Der Angriff erfordert eine hohe Komplexität und eine Benutzerinteraktion, beispielsweise wenn sich ein Benutzer mit einem vom Angreifer kontrollierten Host verbindet. Der CVSS-3.1-Basiswert beträgt 7.5, und es ist keine Ausnutzung bekannt.

Betroffen

• Windows 10 Version 1607 und Windows Server 2016: 10.0.14393.0 bis vor 10.0.14393.9612
• Windows 10 Version 1809: 10.0.17763.0 bis vor 10.0.17763.9376
• Windows 10 Version 21H2: 10.0.19044.0 bis vor 10.0.19044.7807
• Windows 10 Version 22H2: 10.0.19045.0 bis vor 10.0.19045.7807
• Windows 11 Versionen 23H2, 24H2, 25H2, 26H1 und 26H2: gemäss CNA-Eintrag betroffen, die genauen Fix-Builds widersprechen sich zwischen den Quellen
• Windows Server 2012 und 2012 R2 (inklusive Server Core): 6.2.9200.0 bis vor 6.2.9200.26434 beziehungsweise 6.3.9600.0 bis vor 6.3.9600.23470

Behoben in

• Windows 10 Version 1607 und Windows Server 2016: 10.0.14393.9612
• Windows 10 Version 1809: 10.0.17763.9376
• Windows 10 Version 21H2: 10.0.19044.7807
• Windows 10 Version 22H2: 10.0.19045.7807
• Windows Server 2012: 6.2.9200.26434
• Windows Server 2012 R2: 6.3.9600.23470
• Windows 11: Unbekannt (Quellen widersprechen sich, im MSRC-Advisory prüfen)

Umgehung

In den verfügbaren Quellen ist keine Workaround dokumentiert.

• Nur Verbindungen zu vertrauenswürdigen RDP-Hosts aufbauen.
• RDP-Dateien oder Links von unbekannten Absendern nicht öffnen.
• RDP-Zugriff auf ein VPN oder ein Gateway beschränken.

Ausnutzung

• Keine bekannte Ausnutzung.
• Nicht im CISA-KEV-Katalog aufgeführt.
• CISA SSVC: Ausnutzung none, automatisierbar no, technische Auswirkung total.
• Kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Das Microsoft-Sicherheitsupdate auf allen betroffenen Windows-Systemen installieren, zuerst auf Hosts mit Windows 10 Version 1607 und 1809 sowie auf Arbeitsstationen, die RDP nutzen.
• Prüfen, ob Windows 10 Version 1607 noch Sicherheitsupdates oder nur Extended Security Updates erhält, und gegebenenfalls eine Migration planen.
• Die Fix-Build-Nummern im MSRC-Advisory prüfen, bevor man sich darauf verlässt.
• Prüfen, ob MSRDC-basierte Clients in der Umgebung ebenfalls aktualisiert werden müssen.
• RDP-Exposition einschränken und auf ungewöhnliche RDP-Verbindungen achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Response Center advisory msrc.microsoft.com
• NVD record via Vulners vulners.com
• CNA record (version ranges) via Vulners vulners.com
• OpenCVE (KEV, SSVC, guidance) app.opencve.io
• Strix CVE summary www.strix.ai
• VulDB entry vuldb.com
• Related MSRDC fix (WSL pull request) github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 19:23.