Remote Desktop Client: Use after free ermöglicht Remote Code Execution

Zusammenfassung

Eine Use-after-free-Schwachstelle (CWE-416) im Windows Remote Desktop Client erlaubt einem nicht authentifizierten Angreifer, über das Netzwerk Code auszuführen. Für die Ausnutzung sind eine hohe Angriffskomplexität und eine Benutzerinteraktion nötig, etwa die Verbindung zu einem bösartigen oder gefälschten RDP-Host. Der CVSS-3.1-Basiswert beträgt 7.5 (Hoch). Viele Versionen von Windows 10, Windows 11 und Windows Server sind betroffen.

Betroffen

• Windows 10 Version 1607: 10.0.14393.0 bis unter 10.0.14393.9612
• Windows 10 Version 1809: 10.0.17763.0 bis unter 10.0.17763.9376
• Windows 10 Version 21H2: 10.0.19044.0 bis unter 10.0.19044.7807
• Windows 10 Version 22H2: 10.0.19045.0 bis unter 10.0.19045.7807
• Windows 11 Version 23H2: 10.0.22631.0 bis unter 10.0.22631.7652
• Windows 11 Version 24H2: 10.0.26100.0 bis unter 10.0.26100.9711
• Windows 11 Version 25H2: 10.0.26200.0 bis unter 10.0.26200.9711
• Windows 11 Version 26H1: 10.0.28000.0 bis unter 10.0.28000.3231
• Windows 11 Version 26H2: 10.0.26300.0 bis unter 10.0.26300.9711
• Windows Server 2012 (inklusive Server Core): 6.2.9200.0 bis unter 6.2.9200.26434
• Windows Server 2012 R2 (inklusive Server Core): 6.3.9600.0 bis unter 6.3.9600.23470
• Windows Server 2016: 10.0.14393.0 bis unter 10.0.14393.9612

Behoben in

• Windows 10 Version 1607 und Windows Server 2016: 10.0.14393.9612
• Windows 10 Version 1809: 10.0.17763.9376
• Windows 10 Version 21H2 und 22H2: 10.0.19044.7807 bzw. 10.0.19045.7807
• Windows 11 Version 23H2: 10.0.22631.7652
• Windows 11 Version 24H2, 25H2 und 26H2: 10.0.26100.9711, 10.0.26200.9711 bzw. 10.0.26300.9711 (eine Quelle nennt 10.0.26100.33650 für 24H2; auf MSRC prüfen)
• Windows 11 Version 26H1: 10.0.28000.3231
• Windows Server 2012: 6.2.9200.26434
• Windows Server 2012 R2: 6.3.9600.23470
• Alle Build-Nummern und Update-Namen vor dem Ausrollen im MSRC-Advisory prüfen.

Umgehung

Unbekannt. In den Quellen wurde keine Workaround- oder Mitigationsmassnahme des Herstellers gefunden.

Ausnutzung

• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
• Kein öffentlicher Proof-of-Concept-Exploit gefunden.
• In den geprüften Quellen ist keine Ausnutzung in freier Wildbahn bekannt; ein Eintrag im CISA-KEV-Katalog wurde nicht verifiziert.
• EPSS-Wert 0.00569 (etwa 0.6 Prozent Wahrscheinlichkeit einer Ausnutzung innerhalb von 30 Tagen).

Unsere Empfehlung

• Alle Windows-Clients und -Server mit Remote Desktop Client inventarisieren, einschliesslich Systemen mit Windows 10 1607 und Windows Server 2012.
• Die Sicherheitsupdates von Oktober 2026 zuerst auf Windows-10- und Windows-11-Clients installieren, insbesondere auf Admin-Arbeitsplätzen und Jump Hosts.
• Danach Server patchen, die RDP-Verbindungen annehmen.
• Prüfen, ob Windows 10 1607 und Windows Server 2012 noch Sicherheitsupdates erhalten (Support oder ESU); Systeme ohne Patches ersetzen.
• Ausgehende RDP-Verbindungen auf vertrauenswürdige Hosts beschränken und einschränken, wer RDP-Sitzungen starten kann, bis gepatcht ist (nicht gegen Herstellerangaben verifiziert).
• Auf einen Eintrag im CISA-KEV-Katalog oder öffentlichen Exploit-Code achten und bei einem Befund das Patchen beschleunigen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide (advisory, not fetched) msrc.microsoft.com
• NVD mirror (Vulners): versions, EPSS, update names vulners.com
• CNA record (Vulners CVEList) vulners.com
• OpenCVE (conflicting build number) app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 19:13.