Microsoft Remote Desktop Client: Use-after-free führt zu Remote Code Execution

Zusammenfassung

Eine Use-after-free-Schwachstelle (CWE-416) im Remote Desktop Client (mstsc) mehrerer Windows-10-, Windows-11- und Server-Versionen erlaubt es einem nicht autorisierten Angreifer, über das Netzwerk Code auszuführen. Der CVSS-Vektor setzt eine hohe Angriffskomplexität und eine Benutzerinteraktion voraus, etwa wenn ein Benutzer dazu verleitet wird, sich mit einem bösartigen RDP-Host zu verbinden. Es sind keine Berechtigungen erforderlich. Stand 2. Nov 2026 wurden weder eine Ausnutzung in freier Wildbahn noch öffentlich verfügbarer Proof-of-Concept-Code gefunden.

Betroffen

• Windows 10 Version 1607 (Builds vor 10.0.14393.9612)
• Windows 10 Version 1809 (Builds vor 10.0.17763.9376)
• Windows 10 Version 21H2 (Builds vor 10.0.19044.7807)
• Windows 10 Version 22H2 (Builds vor 10.0.19045.7807)
• Windows 11 Version 23H2 (Builds vor 10.0.22631.7652)
• Windows 11 Version 24H2 (Builds vor 10.0.26100.9711)
• Windows 11 Version 25H2 (Builds vor 10.0.26200.9711)
• Windows 11 Version 26H1 (Builds vor 10.0.28000.3231)
• Windows 11 Version 26H2 (Builds vor 10.0.26300.9711)
• Windows Server 2012 und 2012 R2, inklusive Server-Core-Installation (Builds vor 6.2.9200.26434 bzw. 6.3.9600.23470)
• Windows Server 2016 (Builds vor 10.0.14393.9612)

Behoben in

• Sicherheitsupdates ab Oktober 2026, die die im Microsoft-CNA-Eintrag aufgeführten korrigierten Builds bereitstellen (z. B. 10.0.14393.9612 für 1607 und Server 2016, 10.0.17763.9376 für 1809, 10.0.19045.7807 für 22H2).
• KB-Nummern und Build-Nummern von Drittanbieter-Seiten sind noch nicht am Microsoft Security Update Guide verifiziert.

Umgehung

• Von Microsoft ist keine Workaround dokumentiert; das Sicherheitsupdate ist die Behebung.
• Bis zur Installation (eigene Einschätzung, keine Herstellerempfehlung): keine Verbindungen zu nicht vertrauenswürdigen RDP-Hosts aufbauen und .rdp-Dateien von unbekannten Absendern nicht öffnen.

Ausnutzung

• Stand 2. Nov 2026 wurde keine Ausnutzung in freier Wildbahn gefunden.
• Gemäss OpenCVE nicht im CISA-KEV-Katalog aufgeführt.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Kein öffentlicher Proof-of-Concept und kein Exploit gefunden; dies ist kein Beweis, dass keiner existiert.
• EPSS ca. 0.57 %.

Unsere Empfehlung

• Die Oktober-2026-Sammelupdates auf allen betroffenen Windows-10-, Windows-11- und Server-Systemen installieren; Build-Nummern vorab im Microsoft Security Update Guide prüfen.
• Windows-Geräte priorisieren, mit denen Benutzer Remote-Desktops oder Jump-Hosts erreichen.
• Prüfen, ob Windows-10-1607- und Server-2016-Systeme noch unterstützt werden.
• Auch RD-Session-Host- und RD-Gateway-Server prüfen; CVE-2026-69992 betrifft eine andere serverseitige Schwachstelle.
• RDP-Verbindungen auf vertrauenswürdige Hosts beschränken und ungewöhnliche RDP-Verbindungen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide (vendor advisory) msrc.microsoft.com
• Vulners CVE List record (Microsoft CNA data) vulners.com
• Vulners NVD record vulners.com
• OpenCVE record app.opencve.io
• Tenable plugin list www.tenable.com
• Strix CVE summary www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 19:15.