Microsoft Windows Remote Desktop Client: Remote Code Execution durch Use-after-free

Zusammenfassung

Eine Use-after-free-Schwachstelle in der Remote-Desktop-Client-Komponente von Windows erlaubt es einem nicht autorisierten Angreifer aus dem Netzwerk, Code auf dem betroffenen System auszuführen. Für die Ausnutzung ist eine Benutzerinteraktion erforderlich, etwa das Öffnen einer manipulierten Verbindung oder eines Dokuments, und die Angriffskomplexität ist hoch. Das Hauptrisiko betrifft Arbeitsstationen und Endgeräte der Benutzer, nicht aus dem Internet erreichbare Server.

Betroffen

• Windows 10 Version 1607 und Windows Server 2016 (Builds vor 10.0.14393.9612)
• Windows 10 Version 1809 und Windows Server 2019 (Builds vor 10.0.17763.9376)
• Windows 10 Version 21H2 (Builds vor 10.0.19044.7807)
• Windows 10 Version 22H2 (Builds vor 10.0.19045.7807)
• Windows 11 Version 23H2 (Builds vor 10.0.22631.7652)
• Windows 11 Version 24H2 (Builds vor 10.0.26100.9711)
• Windows 11 Version 25H2 (Builds vor 10.0.26200.9711)
• Windows 11 Version 26H1 (Builds vor 10.0.28000.3231)
• Windows 11 Version 26H2 (Builds vor 10.0.26300.9711)
• Windows Server 2012 und 2012 R2 (Builds vor 6.2.9200.26434 bzw. 6.3.9600.23470)

Behoben in

• Das Sicherheitsupdate von Microsoft vom Oktober 2026 für die betroffene Windows-Version installieren (fixe Builds siehe oben und MSRC-Advisory).
• KB-Nummer für Windows 10 1607: Unbekannt.

Umgehung

• Der CVE-Eintrag nennt keinen Workaround.
• Allgemeine Empfehlung eines Aggregators: Remote Desktop auf betroffenen Systemen deaktivieren oder bis zum Patch auf vertrauenswürdige Netzwerke beschränken.

Ausnutzung

• CISA SSVC: Ausnutzung keine, nicht automatisierbar, technische Auswirkung total.
• Nicht in der CISA-KEV-Liste.
• EPSS etwa 0,6 %.
• Stand 2. November 2026 wurde kein öffentlicher Proof of Concept und keine Ausnutzung in freier Wildbahn gefunden.

Unsere Empfehlung

• Betroffene Windows-10-, Windows-11- und Server-Endgeräte mit dem Oktober-2026-Update patchen, zusammen mit den übrigen Remote-Desktop-Client-RCE-Korrekturen (CVE-2026-69995, CVE-2026-69996, CVE-2026-69997, CVE-2026-70004).
• Ältere Systeme mit Windows 10 1607 und 1809 priorisieren und prüfen, ob sie noch unterstützt werden; gegebenenfalls ist ein Upgrade nötig.
• RDP bis zum Patch auf vertrauenswürdige Netzwerke beschränken und RDP nicht aus dem Internet erreichbar machen.
• Exakte fixe Builds und die KB-Nummer vor dem Rollout auf der MSRC-Seite verifizieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-69998 msrc.microsoft.com
• OpenCVE: CVE-2026-69998 app.opencve.io
• Vulners NVD record: CVE-2026-69998 vulners.com
• Strix: CVE-2026-69998 www.strix.ai
• SonicWall: Microsoft security bulletin coverage for October 2026 www.sonicwall.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 19:18.