Remote Desktop Client: Use-after-free ermöglicht Remote Code Execution

Zusammenfassung

Ein Use-after-free-Fehler (CWE-416) in der Komponente Remote Desktop Client von Windows erlaubt einem nicht autorisierten Angreifer, über das Netzwerk Code auszuführen. Die Ausnutzung erfordert eine hohe Komplexität und eine Benutzerinteraktion, etwa die Verbindung zu einem bösartigen oder kompromittierten RDP-Host. Betroffen sind die vom CNA aufgeführten unterstützten Windows-10-, Windows-11- und Windows-Server-Versionen mit CVSS 7.5 (Hoch).

Betroffen

• Windows 10 Version 1607 (10.0.14393.0 bis vor 10.0.14393.9612)
• Windows 10 Version 1809 (10.0.17763.0 bis vor 10.0.17763.9376)
• Windows 10 Version 21H2 (10.0.19044.0 bis vor 10.0.19044.7807)
• Windows 10 Version 22H2 (10.0.19045.0 bis vor 10.0.19045.7807; die CNA-Daten enthalten für diesen Eintrag eine Inkonsistenz)
• Windows 11 Version 23H2 (10.0.22631.0 bis vor 10.0.22631.7652)
• Windows 11 Version 24H2 (10.0.26100.0 bis vor 10.0.26100.9711)
• Windows 11 Version 25H2 (10.0.26200.0 bis vor 10.0.26200.9711)
• Windows 11 Version 26H1 (10.0.28000.0 bis vor 10.0.28000.3231)
• Windows 11 Version 26H2 (10.0.26300.0 bis vor 10.0.26300.9711)
• Windows Server 2012 und Server-Core-Installation (6.2.9200.0 bis vor 6.2.9200.26434)
• Windows Server 2012 R2 und Server-Core-Installation (6.3.9600.0 bis vor 6.3.9600.23470)
• Windows Server 2016 (10.0.14393.0 bis vor 10.0.14393.9612)
• Hinweis: Der bereitgestellte CPE listet nur Windows 10 1607; der CNA-Eintrag listet die oben genannten Produkte.

Behoben in

• Das Microsoft-Sicherheitsupdate vom Oktober 2026 installieren (genaue Build-Nummer je Produkt im MSRC-Advisory).
• Windows 10 Version 1607: korrigierter Build 10.0.14393.9612 (laut CNA-Daten-Spiegel; KB-Nummer unbekannt).
• Windows 10 Version 1809 / Windows Server 2019: KB5126651 (laut Tenable über Vulners).
• Windows Server 2025: KB5126646 (laut Tenable über Vulners).

Umgehung

• Remote Desktop auf Hosts deaktivieren, die es nicht benötigen.
• RDP-Zugriff per Firewall oder Netzwerksegmentierung auf bekannte, vertrauenswürdige IP-Bereiche beschränken.
• Das Blockieren von eingehendem TCP 3389 auf Servern schützt keinen verwundbaren Client, der sich nach aussen mit einem bösartigen Host verbindet; das Patchen ist die wichtigste Massnahme.

Ausnutzung

• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
• Nicht im CISA-KEV-Katalog gelistet.
• EPSS etwa 0.57%.
• Im Rahmen der Recherche wurde kein öffentlicher Proof of Concept gefunden; dies bedeutet unbekannt, nicht bestätigt abwesend.

Unsere Empfehlung

• Das Microsoft-Update vom Oktober 2026 auf allen Windows-Arbeitsstationen und Servern installieren, auch auf Windows 10 1607, falls noch im Einsatz.
• Die MSRC-Tabelle für den genauen korrigierten Build jedes Produkts prüfen.
• Nicht mehr unterstützte Windows-10-1607-Systeme ersetzen und deren Lebenszyklusstatus bei Microsoft prüfen.
• Arbeitsstationen und Admin-Jump-Hosts mit ungepatchten RDP-Clients priorisieren.
• RDP auf vertrauenswürdige Netzwerke beschränken und Benutzer anweisen, keine unbekannten .rdp-Dateien zu öffnen und keine Verbindung zu unbekannten Hosts aufzubauen.
• Auf ungewöhnliche RDP-Verbindungen und Abstürze des Prozesses mstsc überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Response Center: CVE-2026-70006 msrc.microsoft.com
• OpenCVE: CVE-2026-70006 app.opencve.io
• Vulners (NVD): CVE-2026-70006 vulners.com
• Vulners (CVE List mirror): CVE-2026-70006 vulners.com
• Strix: CVE-2026-70006 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 19:14.