Microsoft IIS: Remote Code Execution durch Stack-based Buffer Overflow

Zusammenfassung

Die Windows Internet Information Services (IIS) enthalten einen Stack-based Buffer Overflow, mit dem ein nicht authentifizierter Angreifer über das Netzwerk Code ausführen kann. Der CVSS-3.1-Basiswert beträgt 9.8 (kritisch), wobei keine Berechtigungen und keine Benutzerinteraktion nötig sind. Öffentlich erreichbare IIS-Server haben die höchste Priorität, während interne Server für Angreifer relevant bleiben, die bereits Zugriff auf das Netzwerk haben.

Betroffen

• Windows Server 2016 (Build 10.0.14393.0 bis vor 10.0.14393.9612)
• Windows Server 2012 und 2012 R2 (inklusive Server Core), Builds vor 6.2.9200.26434 bzw. 6.3.9600.23470
• Windows 10 Version 1809, 21H2, 22H2 sowie Windows 11 Version 23H2, 24H2, 25H2, 26H1 und 26H2 (Builds gemäss offiziellem CVE-Eintrag)
• Windows 10 Version 1607 (gemäss den gelieferten CPE-Daten): nicht im offiziellen CVE-Eintrag aufgeführt; die Client-Edition ist nicht verifiziert

Behoben in

• Windows Server 2016: 10.0.14393.9612 oder neuer
• Windows Server 2012: 6.2.9200.26434 oder neuer
• Windows Server 2012 R2: 6.3.9600.23470 oder neuer
• Windows 10 1809: 10.0.17763.9376 oder neuer
• Windows 10 21H2 und 22H2: 10.0.19044.7807 bzw. 10.0.19045.7807 oder neuer
• Windows 11 23H2: 10.0.22631.7652 oder neuer
• Windows 11 24H2 und 25H2: 10.0.26100.9711 bzw. 10.0.26200.9711 oder neuer
• Windows 10 1607 (Client): Unbekannt. Die Behebung der Client-Edition ist im MSRC-Advisory zu prüfen.

Umgehung

Unbekannt. In den geprüften Quellen ist keine Workaround- oder Mitigationsmassnahme dokumentiert.

Ausnutzung

• In den geprüften Quellen wurde kein öffentlicher Proof of Concept gefunden.
• In den geprüften Quellen wurde keine bekannte Ausnutzung in freier Wildbahn gefunden.
• CISA-SSVC-Daten im Eintrag: Exploitation none, Automatable yes, Technical Impact total.
• Eintrag im CISA-KEV-Katalog: nicht gefunden; im Katalog zu prüfen.
• EPSS-Wert 0.0078 (sekundäre Quelle).

Unsere Empfehlung

• Alle betroffenen Windows- und Windows-Server-Systeme mit IIS mit dem Microsoft-Update für CVE-2026-70024 patchen, zuerst die öffentlich erreichbaren Server.
• Die Build-Nummern aller Systeme mit dem MSRC-Advisory abgleichen, einschliesslich Windows-10-1607-Systemen.
• Alle Windows-Systeme mit aktivierter IIS-Rolle oder Funktion inventarisieren.
• Ist ein System nicht zeitnah patchbar, dessen Netzwerkexposition einschränken und das Risiko mit einem Ablaufdatum dokumentieren.
• IIS-Logs und Server auf ungewöhnliche Anfragen und unerwartete Prozesse überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-70024 msrc.microsoft.com
• NVD record via vulners mirror vulners.com
• OpenCVE: CVE-2026-70024 app.opencve.io
• VulDB: CVE-2026-70024 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 18:48.