Microsoft Windows Remote Desktop Services: Remote Code Execution durch Use after Free

Zusammenfassung

Ein Use-after-Free-Speicherfehler in Windows Remote Desktop Services (der Serverteil von RDP) erlaubt es einem Angreifer, über das Netzwerk Code auszuführen. Laut CVSS-Vektor ist die Angriffskomplexität hoch und eine Benutzerinteraktion erforderlich, was die Wahrscheinlichkeit einer Ausnutzung senkt. Die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit werden als hoch eingestuft.

Betroffen

• Windows 10 Version 1607 und Windows Server 2016 (Builds vor 10.0.14393.9612)
• Windows 10 Version 1809 und Windows Server 2019 (Builds vor 10.0.17763.9376)
• Windows 10 Version 21H2 (Builds vor 10.0.19044.7807)
• Windows 10 Version 22H2 (Builds vor 10.0.19045.7807)
• Windows 11 Version 23H2 (Builds vor 10.0.22631.7652)
• Windows 11 Version 24H2 und 25H2, Windows 11 26H1 und 26H2 (Fix-Buildnummern sind zu verifizieren, siehe Hinweise)
• Windows Server 2012 und 2012 R2 (Builds vor 6.2.9200.26434 bzw. 6.3.9600.23470)
• Unbekannt: Die genauen Fix-Builds für Windows 11 24H2 und Windows 11 26H2 widersprechen sich in den Quellen.

Behoben in

• Die Sicherheitsupdates von Microsoft vom Oktober 2026 installieren.
• Windows 10 21H2/22H2: KB5126657 (laut Tenable).
• Windows 10 1809 / Server 2019: KB5126651; Windows Server 2025: KB5126646.
• Windows 10 1607 / Server 2016: KB-Nummer unbekannt, bei Microsoft bestätigen.
• Genaue Fix-Builds vor dem Einsatz im MSRC-Advisory verifizieren.

Umgehung

• Herstellerempfehlung: Remote Desktop Services deaktivieren, wenn nicht erforderlich, und das RDP-Feature entfernen (nicht auf MSRC bestätigt).
• TCP 3389 nicht aus dem Internet erreichbar machen.
• RDP hinter einem VPN oder Gateway betreiben und Multi-Faktor-Authentifizierung erzwingen.
• Diese Massnahmen reduzieren die Exposition, beheben die Schwachstelle jedoch nicht.

Ausnutzung

• Laut letzter Prüfung nicht im CISA KEV-Katalog gelistet.
• EPSS etwa 0,6 % (0,00631).
• VulDB schätzt einen möglichen Marktpreis für einen Exploit von USD 25k-100k; dies ist kein Beleg für eine Ausnutzung.
• In unseren Recherchen wurde kein öffentlicher Proof of Concept gefunden; dies ist kein Nachweis der Abwesenheit.
• Stand 2. November 2026 ist keine bestätigte Ausnutzung in freier Wildbahn bekannt.
• CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.

Unsere Empfehlung

• Alle Windows-Hosts mit aktivierten Remote Desktop Services identifizieren, einschliesslich eigenständiger Windows 10 1607- und Server 2016-Systeme.
• Prüfen, welche Systeme aus dem Internet erreichbar sind, und diese zuerst patchen.
• Die Updates vom Oktober 2026 installieren und den installierten Build mit den Fix-Builds abgleichen.
• RDP-Zugriff auf VPN oder Gateway beschränken, MFA erzwingen und RDP-Protokolle auf ungewöhnliche Aktivitäten überwachen.
• RDS auf Systemen deaktivieren, auf denen es nicht benötigt wird.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide msrc.microsoft.com
• NVD mirror (Vulners) vulners.com
• Tenable plugin 365467 www.tenable.com
• OpenCVE app.opencve.io
• VulDB 418298 vuldb.com
• Strix CVE-2026-69992 www.strix.ai
• Vulners EPSS record vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 19:14.