Microsoft .NET: Remote Code Execution durch Deserialisierung

Zusammenfassung

Die Deserialisierung nicht vertrauenswürdiger Daten in .NET erlaubt einem nicht authentifizierten Angreifer aus der Ferne, Code auszuführen. Betroffen sind die Runtimes .NET 8, 9, 10 und 11, .NET Framework 3.5 sowie 4.6.2 bis 4.8.1 und Visual Studio 2022 17.14 sowie 2026 18.10. Microsoft stuft die Schwachstelle mit CVSS 8.8 (High) ein. Gemäss Drittquellen muss ein Benutzer vom Angreifer bereitgestellte Inhalte in einer WPF-Anwendung öffnen und einem darin enthaltenen Link folgen.

Betroffen

• Microsoft .NET 8.0 vor 8.0.32
• Microsoft .NET 9.0 vor 9.0.21
• Microsoft .NET 10.0 vor 10.0.13
• Microsoft .NET 11.0 ab 11.0.0 vor 11.0.0-rc.2
• Microsoft .NET Framework 3.5 sowie 4.6.2 bis 4.8.1 (genaue Builds: siehe MSRC)
• Microsoft Visual Studio 2022 Version 17.14 vor 17.14.42
• Microsoft Visual Studio 2026 Version 18.10 vor 18.10.4
• .NET 6 wird von Microsoft nicht bewertet; Drittanbieter-Analysen melden eine Betroffenheit

Behoben in

• .NET 8.0.32, 9.0.21, 10.0.13 und 11.0.0-rc.2 oder neuer
• .NET Framework: Sicherheitsupdate vom 13. Oktober 2026 über Windows Update oder WSUS (genaue Build-Nummern: Unbekannt, auf MSRC prüfen)
• Visual Studio 2022 17.14.42 oder neuer; Visual Studio 2026 18.10.4 oder neuer
• .NET 6: Unbekannt von Microsoft; ein kostenpflichtiger Drittanbieter-Fix (NES für .NET 6.0.47) wird von HeroDevs gemeldet

Umgehung

• Kein vom Hersteller dokumentierter Workaround gefunden. Unbekannt.
• Microsoft empfiehlt, die neueste .NET-Version zu installieren und in Anwendungen, die das betroffene Paket verwenden, die Paketreferenz auf die gepatchte Version zu aktualisieren.

Ausnutzung

• Microsoft markiert die Schwachstelle als nicht ausgenutzt.
• Nicht im Katalog CISA KEV aufgeführt.
• EPSS-Werte variieren je nach Quelle (1.3 % in einem Datensatz).
• In der Recherche wurde kein öffentlicher Proof of Concept gefunden; dies beweist nicht, dass keiner existiert.

Unsere Empfehlung

• .NET Framework über Windows Update oder WSUS mit dem Update vom 13. Oktober 2026 patchen.
• .NET-Runtimes und Visual Studio auf die oben genannten gepatchten Versionen aktualisieren.
• Systeme mit eigenen WPF- oder XAML-basierten Anwendungen sowie alle .NET-6-Anwendungen priorisieren, da für .NET 6 kein offizieller Fix von Microsoft vorliegt.
• Installierte Versionen mit einer Inventarprüfung verifizieren und die genauen gepatchten .NET-Framework-Builds in der MSRC-Tabelle der Sicherheitsupdates bestätigen.
• Benutzer anweisen, keine unbekannten Dokumente und Links in Desktop-Anwendungen zu öffnen, und auf Phishing-Versuche achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-70035 msrc.microsoft.com
• GitHub Advisory GHSA-4j9v-h7pp-725h github.com
• dotnet/announcements #451 github.com
• Microsoft Support KB5127696: .NET Framework 3.5, October 13, 2026 support.microsoft.com
• GitLab Advisory Database: CVE-2026-70035 advisories.gitlab.com
• HeroDevs Vulnerability Directory: CVE-2026-70035 (third party) www.herodevs.com
• OpenCVE: CVE-2026-70035 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 19:01.