Microsoft Remote Desktop Client: Use-after-free ermöglicht Remote Code Execution

Zusammenfassung

Ein Use-after-free (CWE-416) im Remote Desktop Client von Windows erlaubt einem nicht berechtigten Angreifer, über das Netzwerk Code auszuführen. Laut CVSS-Vektor (AV:N/AC:H/PR:N/UI:R) sind hohe Komplexität und eine Benutzerinteraktion nötig, etwa wenn sich ein Benutzer mit einem vom Angreifer kontrollierten RDP-Endpunkt verbindet. Der CNA-Eintrag von Microsoft führt zahlreiche Windows-10-, Windows-11- und Windows-Server-Versionen als betroffen auf. Zum Zeitpunkt der Recherche wurden weder eine Ausnutzung noch ein öffentlicher Proof of Concept gefunden.

Betroffen

• Windows 10 Version 1607 und Windows Server 2016: vor 10.0.14393.9612
• Windows 10 Version 1809: vor 10.0.17763.9376
• Windows 10 Version 21H2: vor 10.0.19044.7807
• Windows 10 Version 22H2: vor 10.0.19045.7807
• Windows 11 Version 23H2: vor 10.0.22631.7652
• Windows 11 Version 24H2: vor 10.0.26100.9711
• Windows 11 Version 25H2: vor 10.0.26200.9711
• Windows 11 Version 26H1: vor 10.0.28000.3231
• Windows 11 Version 26H2: vor 10.0.26300.9711
• Windows Server 2012 (inklusive Server Core): vor 6.2.9200.26434
• Windows Server 2012 R2 (inklusive Server Core): vor 6.3.9600.23470
• Hinweis: Der CPE-Eintrag in der Eingabe führt nur Windows 10 1607 auf; der CNA-Eintrag ist vollständiger. Sekundäre Quellen widersprechen sich bei einzelnen Build-Nummern.

Behoben in

• Behoben in den Windows-Sicherheitsupdates vom Oktober 2026. Die behobenen Builds entsprechen gemäss CNA-Eintrag den oben aufgeführten oberen Grenzen.
• Build-Nummern aus sekundären Quellen widersprechen sich; vor einer Verwendung gegen den MSRC-Security-Update-Guide prüfen.
• KB-Nummern für Windows 10 1607 konnten nicht verifiziert werden.

Umgehung

• Unbekannt. Es wurde keine Workaround des Herstellers gefunden.
• Übergangsmassnahme (nicht von einer Herstellerquelle): Bis zur Installation des Patches RDP nur mit vertrauenswürdigen Hosts verbinden und keine .rdp-Dateien oder RDP-Links von unbekannten Absendern öffnen.

Ausnutzung

• Es wurde keine Ausnutzung in freier Wildbahn gefunden.
• Es wurde kein öffentlicher Proof of Concept gefunden.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Der Status im CISA-KEV-Katalog wurde nicht verifiziert.
• EPSS: 0.00569 (geringe Wahrscheinlichkeit).

Unsere Empfehlung

• Die Windows-Updates vom Oktober 2026 auf allen betroffenen Windows-10-, Windows-11- und Windows-Server-Systemen im üblichen Update-Zyklus installieren und die Builds gegen die MSRC-Tabelle prüfen.
• Systeme mit Windows 10 1607 oder Windows Server 2012/2012 R2 identifizieren und deren Supportstatus prüfen; nicht mehr unterstützte Systeme erhalten unter Umständen keinen Patch.
• RDP-Client-Verbindungen auf vertrauenswürdige interne Hosts beschränken und Benutzer vor RDP-Dateien und Links von unbekannten Absendern warnen.
• Auf Meldungen zur Ausnutzung und einen Eintrag im CISA-KEV-Katalog achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide (vendor, not verified) msrc.microsoft.com
• CNA record mirror (vulners) vulners.com
• NVD record mirror (vulners) vulners.com
• OpenCVE app.opencve.io
• Strix CVE mirror www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 19:25.