Microsoft Remote Desktop Client: Remote Code Execution durch Use-after-Free

Zusammenfassung

Eine Use-after-Free-Schwachstelle (CWE-416) im Remote Desktop Client von Windows erlaubt einem nicht autorisierten Angreifer, über das Netzwerk Code auszuführen. Für die Ausnutzung ist eine Benutzerinteraktion nötig, etwa die Verbindung zu einem bösartigen oder gefälschten RDP-Host, und die Angriffskomplexität ist hoch. CISA SSVC bewertet die Ausnutzung als keine, und in der Recherche wurde kein öffentlicher Exploit gefunden.

Betroffen

• Windows 10 Version 1607 und Windows Server 2016: 10.0.14393.0 bis unter 10.0.14393.9612
• Windows 10 Version 1809 und Windows Server 2019 Linie: 10.0.17763.0 bis unter 10.0.17763.9376
• Windows 10 Version 21H2: 10.0.19044.0 bis unter 10.0.19044.7807
• Windows 10 Version 22H2: 10.0.19045.0 bis unter 10.0.19045.7807
• Windows 11 Version 23H2: 10.0.22631.0 bis unter 10.0.22631.7652
• Windows 11 Version 24H2 und 25H2: 10.0.26100.0 und 10.0.26200.0 bis unter 10.0.26100.9711 und 10.0.26200.9711 (gemäss CNA-Eintrag, in anderen Quellen nicht bestätigt)
• Windows 11 Version 26H1: 10.0.28000.0 bis unter 10.0.28000.3231
• Windows 11 Version 26H2: 10.0.26300.0 bis unter 10.0.26300.9711
• Windows Server 2012: 6.2.9200.0 bis unter 6.2.9200.26434
• Windows Server 2012 R2: 6.3.9600.0 bis unter 6.3.9600.23470

Behoben in

• Windows 10 1607 / Server 2016: 10.0.14393.9612
• Windows 10 1809: 10.0.17763.9376
• Windows 10 21H2: 10.0.19044.7807
• Windows 10 22H2: 10.0.19045.7807
• Windows 11 23H2: 10.0.22631.7652
• Windows 11 26H1: 10.0.28000.3231
• Windows Server 2012: 6.2.9200.26434
• Windows Server 2012 R2: 6.3.9600.23470
• Windows 11 24H2, 25H2, 26H2: Build in der MSRC-Tabelle prüfen, da die Quellen voneinander abweichen
• Patch-KB für Windows 10 1607: Unbekannt.

Umgehung

Unbekannt.

• Microsoft stellt einen Patch bereit; eine MSRC-spezifische Workaround wurde nicht bestätigt.
• Allgemeine Massnahme: Remote Desktop auf Systemen deaktivieren, auf denen es nicht benötigt wird.

Ausnutzung

• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total
• Nicht in der CISA KEV gelistet
• EPSS 0.00569 (sehr niedrig)
• Kein öffentlicher Proof of Concept gefunden; das Fehlen in Suchergebnissen beweist nicht, dass keiner existiert

Unsere Empfehlung

• Windows-10-1607- und 1809-Systeme zuerst inventarisieren; 1607 ist möglicherweise nicht mehr im Support, daher die Lifecycle-Seite von Microsoft prüfen.
• Das Oktober-2026-Cumulative-Update auf allen unterstützten Systemen installieren und das Build in der MSRC-Tabelle bestätigen.
• Die Nutzung des RDP-Clients nach Möglichkeit auf bekannte Hosts beschränken und Benutzer anweisen, sich nicht mit unbekannten RDP-Hosts zu verbinden.
• CVE-2026-69992 (Windows Remote Desktop Services) für RDP-Server prüfen und KEV- und PoC-Status regelmässig kontrollieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-69991 msrc.microsoft.com
• Vulners CVE record (CNA data): CVE-2026-69991 vulners.com
• Vulners NVD mirror: CVE-2026-69991 vulners.com
• OpenCVE: CVE-2026-69991 app.opencve.io
• Strix: CVE-2026-69991 www.strix.ai
• Strix: CVE-2026-69992 (related RDP CVE) www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 19:25.