Microsoft .NET Framework: Remote Code Execution durch Out-of-Bounds-Write

Zusammenfassung

Eine Schwachstelle vom Typ Out-of-Bounds-Write in der .NET-Laufzeitumgebung und im .NET Framework, in der Pixel-Shader-Übersetzung von WPF (Windows Presentation Foundation), erlaubt einem nicht authentifizierten Angreifer die Ausführung von Code. Für die Ausnutzung muss ein Benutzer eine speziell präparierte Datei oder Shader-Inhalte öffnen, daher handelt es sich um ein clientseitiges, benutzerausgelöstes Risiko und nicht um einen aus dem Internet erreichbaren Dienst. Microsoft stuft die Auswirkungen als total ein (Vertraulichkeit, Integrität und Verfügbarkeit), und CISA SSVC führt die Ausnutzung als keine auf.

Betroffen

• .NET Framework 3.5, 4.6.2 bis 4.8.1 (verschiedene Builds, siehe Microsoft-Advisory)
• .NET 8.0 vor 8.0.32
• .NET 9.0 vor 9.0.21
• .NET 10.0 vor 10.0.13
• .NET 11.0 vor 11.0.0-rc.2
• Visual Studio 2022 Version 17.14 (korrigierter Build unbestätigt)
• Visual Studio 2026 Version 18.10 vor 18.10.4
• .NET 6: unbekannt, von Microsoft nicht bewertet

Behoben in

• Sicherheitsupdates vom 13. Oktober 2026 für .NET Framework (z. B. 4.8.1: 4.8.9363.0; 4.8: 4.8.4811.0; 4.6.2 bis 4.7.2: 4.7.4150.0)
• .NET 9.0.21 und höher; .NET 8.0.32 und höher; .NET 10.0.13 und höher (Korrekturen für 8.0 und 10.0 im Microsoft-Text nicht vollständig bestätigt)
• Visual Studio 2026 18.10.4 und höher
• Visual Studio 2022 17.14: unbekannt
• .NET 6: unbekannt (die Korrektur ab 6.0.47 durch einen Drittanbieter ist nicht durch den Hersteller bestätigt)

Umgehung

• Kein Workaround des Herstellers gefunden.
• Bis zum Patch keine unbekannten Dateien oder Shader-Inhalte in WPF-Anwendungen öffnen.
• Eigenständige WPF-Anwendungen nach dem Update der Laufzeitumgebung neu erstellen und neu verteilen.

Ausnutzung

• Keine bekannte Ausnutzung; nicht im CISA-KEV-Katalog.
• Reifegrad der Ausnutzung laut Microsoft: unbewiesen (E:U).
• EPSS etwa 0,6 %.
• Kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Die Sicherheitsupdates vom Oktober 2026 für .NET Framework, .NET und Windows auf allen betroffenen Clients und Servern installieren, zuerst auf Windows-Clients mit WPF-Anwendungen und Visual Studio.
• Versionen von .NET Framework, .NET-Laufzeitumgebung und Visual Studio inventarisieren und mit dem MSRC-Advisory abgleichen.
• Eigenständige WPF-Anwendungen mit der korrigierten Laufzeitumgebung neu erstellen und verteilen.
• Benutzer schulen, unbekannte Dateien aus unvertrauenswürdigen Quellen nicht zu öffnen.
• Meldungen von Schwachstellen-Scannern und Herstellerupdates für .NET 6 und Visual Studio 2022 überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-70007 msrc.microsoft.com
• Microsoft .NET GitHub advisory github.com
• Microsoft KB5127694 (Windows 11 26H2) support.microsoft.com
• Visual Studio 2026 release notes learn.microsoft.com
• OpenCVE: CVE-2026-70007 app.opencve.io
• Tenable plugin 366093 www.tenable.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 19:02.