Microsoft Remote Desktop Client: Use-after-free führt zu Remote Code Execution

Zusammenfassung

Eine Use-after-free-Schwachstelle (CWE-416) im Windows Remote Desktop Client erlaubt die Ausführung von Code aus dem Netzwerk. Der CVSS-Vektor setzt eine Benutzerinteraktion und eine hohe Angriffskomplexität voraus, daher muss ein Angreifer einen Benutzer dazu bringen, sich mit einem bösartigen RDP-Endpunkt zu verbinden oder die Schwachstelle anderweitig auszulösen. Windows 10 Version 1607 und Windows Server 2016 sind betroffen; ohne Extended Security Updates kann für Geräte mit 1607 LTSB kein Fix mehr bezogen werden, da der Support am 13. Oktober 2026 endete.

Betroffen

• Windows 10 Version 1607: Builds unter 10.0.14393.9612
• Windows Server 2016: Builds unter 10.0.14393.9612
• Windows 10 Version 1809: Builds unter 10.0.17763.9376
• Windows 10 Version 21H2: Builds unter 10.0.19044.7807
• Windows 10 Version 22H2: Builds unter 10.0.19045.7807
• Windows 11 Version 23H2: Builds unter 10.0.22631.7652
• Windows 11 Version 24H2: Builds unter 10.0.26100.9711
• Windows 11 Version 25H2: Builds unter 10.0.26200.9711
• Windows 11 Version 26H1: Builds unter 10.0.28000.3231
• Windows 11 Version 26H2: Builds unter 10.0.26300.9711
• Windows Server 2012 und 2012 (Server Core): Builds unter 6.2.9200.26434
• Windows Server 2012 R2 und 2012 R2 (Server Core): Builds unter 6.3.9600.23470

Behoben in

• Das Windows-Sicherheitsupdate vom Oktober 2026 oder ein späteres kumulatives Update für die jeweils betroffene Version installieren.
• Windows 10 Version 1607 und Windows Server 2016: Build 10.0.14393.9612 oder neuer; das neueste kumulative Update installieren.
• Hinweis: Der 22H2-Bereich in einigen Sekundärquellen ist intern widersprüchlich; das Advisory von Microsoft ist massgebend.

Umgehung

• Kein herstellerspezifischer Workaround bekannt.
• RDP-Zugriff über Firewall-Regeln oder VPN auf vertrauenswürdige Hosts beschränken (allgemeine Massnahme, kein Herstellerfix).

Ausnutzung

• Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
• CISA SSVC im CVE-Eintrag: Exploitation none, Automatable no.
• Kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Geräte mit Windows 10 Version 1607 und Windows Server 2016 priorisieren: Sie sind nicht mehr oder bald nicht mehr im Support (Extended Support für Server 2016 endet am 12. Januar 2027). Diese Geräte migrieren oder Extended Security Updates prüfen; bei Microsoft klären, ob der Oktober-Build auch an Geräte ohne ESU ausgeliefert wird.
• Alle übrigen betroffenen Windows-Systeme mit dem Update vom Oktober 2026 patchen.
• Die RDP-Client-Patches gemeinsam einspielen, inklusive CVE-2026-69995 aus demselben Release.
• RDP-Zugriff nur auf vertrauenswürdige Hosts beschränken und keine Verbindung zu unbekannten RDP-Endpunkten herstellen.
• Ungewöhnliche RDP-Sitzungen und Abstürze auf Endgeräten wie Kiosken, POS-Terminals und Thin Clients überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-69996 msrc.microsoft.com
• Microsoft release health: Windows 10 1607 and Windows Server 2016 learn.microsoft.com
• Vulners: CVE-2026-69996 vulners.com
• OpenCVE: CVE-2026-69996 app.opencve.io
• VulDB: CVE-2026-69996 vuldb.com
• SonicWall: Microsoft security bulletin coverage for October 2026 www.sonicwall.com
• Wikipedia: Windows Server 2016 en.wikipedia.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 19:16.