Microsoft Remote Desktop Client: Remote Code Execution durch Use-after-Free

Zusammenfassung

Ein Use-after-Free-Fehler (CWE-416) im Remote Desktop Client von Windows erlaubt die Ausführung von Code über das Netzwerk. Der CNA-Eintrag von Microsoft stuft die Schwachstelle als hoch ein (CVSS 7.5) mit vollständigen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Für einen Angriff muss ein Benutzer mit einem vom Angreifer kontrollierten RDP-Endpunkt interagieren, und die Angriffskomplexität ist hoch; eine Ausnutzung in freier Wildbahn ist nicht bekannt.

Betroffen

• Windows 10 Version 1607 (10.0.14393.0 bis unter 10.0.14393.9612)
• Windows 10 Version 1809 (10.0.17763.0 bis unter 10.0.17763.9376)
• Windows 10 Version 21H2 (10.0.19044.0 bis unter 10.0.19044.7807)
• Windows 10 Version 22H2 (10.0.19045.0 bis unter 10.0.19045.7807)
• Windows 11 Versionen 23H2, 24H2, 25H2, 26H1 und 26H2 (Fixversionen gemäss CNA-Daten, siehe Behoben)
• Windows Server 2012 und 2012 R2 (inklusive Server Core)
• Windows Server 2016

Behoben in

• Windows 10 1607: Build 10.0.14393.9612
• Windows 10 1809: Build 10.0.17763.9376
• Windows 10 21H2: Build 10.0.19044.7807
• Windows 10 22H2: Build 10.0.19045.7807
• Windows 11 23H2: Build 10.0.22631.7652
• Windows 11 24H2: widersprüchliche Angaben (10.0.26100.9711 oder 10.0.26100.33650), bei MSRC überprüfen
• Windows 11 25H2 und 26H2: Build 10.0.26200.9711 bzw. 10.0.26300.9711 (CNA-Daten)
• Windows 11 26H1: Build 10.0.28000.3231
• Patch-KBs laut Tenable: KB5126651 (Windows 10 1809 / Server 2019) und KB5126646 (Windows Server 2025), Oktober 2026
• Fixversionen für Windows 10 1607 und Windows Server 2012: bei MSRC überprüfen, da für nicht alle Einträge in den Quellen eine Korrektur bestätigt ist

Umgehung

• Der vollständige Abhilfetext von Microsoft wurde nicht abgerufen. Gemäss CNA-Vorgabe das offizielle Update installieren; falls dieses noch nicht verfügbar ist, eingehenden Remote-Desktop-Verkehr auf vertrauenswürdige Quellen beschränken.
• RDP-Clientverbindungen zu nicht vertrauenswürdigen Hosts bis zur Korrektur per Richtlinie blockieren.

Ausnutzung

• Ausnutzung in freier Wildbahn: keine Hinweise gefunden. CISA KEV: nicht aufgeführt. CISA SSVC: Ausnutzung keine, automatisierbar nein.
• Öffentlicher Proof-of-Concept: keiner gefunden.
• EPSS 0.00569 (sehr niedrig).

Unsere Empfehlung

• Alle betroffenen Windows-Clients und Server mit dem Kumulativen Update vom Oktober 2026 patchen, Windows-10-1607-Geräte mit Priorität.
• Prüfen, ob Windows 10 1607 (Enterprise LTSB 2016) noch unterstützt wird oder durch ESU abgedeckt ist; falls nicht, diese Systeme ersetzen oder isolieren.
• Keine Verbindung zu unbekannten RDP-Servern herstellen und RDP nicht aus dem Internet erreichbar machen.
• Auf ungewöhnliche RDP-Client-Aktivitäten achten und die Fixversion auf jedem System überprüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Response Center: CVE-2026-69987 msrc.microsoft.com
• Vulners: CVELIST CVE-2026-69987 (CNA data) vulners.com
• OpenCVE: CVE-2026-69987 app.opencve.io
• Vulners: NVD CVE-2026-69987 (Tenable KBs, EPSS) vulners.com
• Strix: CVE-2026-69987 www.strix.ai
• VulDB: CVE-2026-69987 (exploit price estimate) vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 19:24.