Remote Desktop Client: Use-after-free führt zu Remote Code Execution

Zusammenfassung

Eine Use-after-free-Schwachstelle (CWE-416) im Microsoft Remote Desktop Client, der RDP-Client-Komponente von Windows, erlaubt einem nicht berechtigten Angreifer, über das Netzwerk Code auszuführen. Die Ausnutzung setzt eine hohe Angriffskomplexität und eine Benutzerinteraktion voraus, etwa wenn ein Benutzer sich mit einem bösartigen RDP-Endpunkt verbindet oder dorthin geleitet wird. Der CVSS-3.1-Basiswert beträgt 7.5 (hoch). Die Listen der betroffenen und behobenen Builds sollten vor Patch-Entscheidungen im MSRC-Advisory überprüft werden.

Betroffen

• Windows 10 Version 1607: 10.0.14393.0 bis vor 10.0.14393.9612
• Windows 10 Version 1809: 10.0.17763.0 bis vor 10.0.17763.9376
• Windows 10 Version 21H2: 10.0.19044.0 bis vor 10.0.19044.7807
• Windows 10 Version 22H2: 10.0.19045.0 bis vor 10.0.19045.7807
• Windows 11 Version 23H2: 10.0.22631.0 bis vor 10.0.22631.7652
• Windows 11 Version 24H2: 10.0.26100.0 bis vor 10.0.26100.9711
• Windows 11 Version 25H2: 10.0.26200.0 bis vor 10.0.26200.9711
• Windows 11 Version 26H1: 10.0.28000.0 bis vor 10.0.28000.3231
• Windows 11 Version 26H2: 10.0.26300.0 bis vor 10.0.26300.9711
• Windows Server 2012 (inklusive Server Core): 6.2.9200.0 bis vor 6.2.9200.26434
• Windows Server 2012 R2 (inklusive Server Core): 6.3.9600.0 bis vor 6.3.9600.23470
• Windows Server 2016: 10.0.14393.0 bis vor 10.0.14393.9612

Behoben in

• Behobene Builds gemäss CNA-Eintrag: Windows 10 1607 10.0.14393.9612; Windows 10 1809 10.0.17763.9376; Windows 10 21H2 10.0.19044.7807; Windows 10 22H2 10.0.19045.7807; Windows 11 23H2 10.0.22631.7652; Windows 11 24H2, 25H2, 26H2 10.0.26100.9711 / 10.0.26200.9711 / 10.0.26300.9711; Windows 11 26H1 10.0.28000.3231; Windows Server 2012 6.2.9200.26434; Windows Server 2012 R2 6.3.9600.23470; Windows Server 2016 10.0.14393.9612
• Widerspruch: OpenCVE nennt 10.0.26100.33650 als behobenen Build für Windows 11 24H2 und Server 2025. Dies ist ungeklärt.
• Unbekannt, ob für Windows 10 1607 ein Update für diese Schwachstelle verfügbar ist; die zugehörigen KB-Nummern sind nicht bestätigt.

Umgehung

Unbekannt.

• Es wurde keine Workaround-Massnahme des Herstellers oder von Forschern gefunden. Die FAQ und der Abschnitt zu Mitigations im MSRC prüfen.

Ausnutzung

• Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
• CISA-SSVC-Bewertung: Exploitation none, Automatable no, Technical Impact total.
• Kein öffentlicher Proof-of-Concept gefunden.
• VulDB schätzt einen möglichen Exploit-Preis von USD 25k bis 100k. Dies ist eine Schätzung von Broker-Preisen und kein Beleg für eine aktive Ausnutzung.

Unsere Empfehlung

• Die Sicherheitsupdates vom Oktober 2026 im Rahmen des normalen Patch-Zyklus auf allen betroffenen Windows-Clients und -Servern installieren.
• Systeme mit Windows 10 1607 sowie Systeme, von denen aus Mitarbeitende sich mit externen oder Drittanbieter-RDP-Hosts verbinden, priorisieren.
• Die behobenen Builds vor dem Rollout im MSRC-Advisory verifizieren.
• RDP-Client-Verbindungen auf vertrauenswürdige Hosts beschränken und RDP-Dateien aus nicht vertrauenswürdigen Quellen nicht öffnen.
• Prüfen, ob Windows 10 1607 noch unterstützt wird, und bei fehlendem Support eine Migration planen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-69986 msrc.microsoft.com
• CNA JSON record (mirrored on Vulners) vulners.com
• NVD record (mirrored on Vulners) vulners.com
• VulDB entry 418294 vuldb.com
• Strix CVE summary www.strix.ai
• OpenCVE CVE-2026-69986 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 19:23.