Microsoft Windows iSCSI: Remote Code Execution durch Use-after-free

Zusammenfassung

Ein Use-after-free-Fehler in der Windows-iSCSI-Komponente erlaubt einem nicht authentifizierten Angreifer im Netzwerk, Code auszuführen. Die Angriffskomplexität wird als hoch eingestuft, und es sind weder Berechtigungen noch Benutzerinteraktion nötig. Das Risiko betrifft vor allem Server mit iSCSI-Rollen oder angebundenen iSCSI-Volumes, insbesondere Storage- und Dateiserver.

Betroffen

• Windows 10 Version 1607 (10.0.14393.0 bis vor 10.0.14393.9612)
• Windows 10 Version 1809 (10.0.17763.0 bis vor 10.0.17763.9376)
• Windows 10 Version 21H2 (10.0.19044.0 bis vor 10.0.19044.7807)
• Windows 10 Version 22H2 (10.0.19045.0 bis vor 10.0.19045.7807)
• Windows 11 Version 23H2 (10.0.22631.0 bis vor 10.0.22631.7652)
• Windows 11 Version 24H2 (10.0.26100.0 bis vor 10.0.26100.9711)
• Windows 11 Version 25H2 (10.0.26200.0 bis vor 10.0.26200.9711)
• Windows 11 Version 26H1 (10.0.28000.0 bis vor 10.0.28000.3231)
• Windows 11 Version 26H2 (10.0.26300.0 bis vor 10.0.26300.9711)
• Windows Server 2012 und Server-Core-Installation (6.2.9200.0 bis vor 6.2.9200.26434)
• Windows Server 2012 R2 und Server-Core-Installation (6.3.9600.0 bis vor 6.3.9600.23470)
• Windows Server 2016 (10.0.14393.0 bis vor 10.0.14393.9612)
• Der NVD-CPE-Eintrag nennt nur Windows 10 1607

Behoben in

• Windows 10 Version 1607: 10.0.14393.9612
• Windows 10 Version 1809: 10.0.17763.9376
• Windows 10 Version 21H2: 10.0.19044.7807
• Windows 10 Version 22H2: 10.0.19045.7807
• Windows 11 Version 23H2: 10.0.22631.7652
• Windows 11 Version 24H2: 10.0.26100.9711
• Windows 11 Version 25H2: 10.0.26200.9711
• Windows 11 Version 26H1: 10.0.28000.3231
• Windows 11 Version 26H2: 10.0.26300.9711
• Windows Server 2012: 6.2.9200.26434
• Windows Server 2012 R2: 6.3.9600.23470
• Windows Server 2016: 10.0.14393.9612
• KB-Nummern und Verfügbarkeit (z. B. ESU für Windows 10 1607) im MSRC Update Guide prüfen.

Umgehung

• Keine Workaround-Massnahme des Herstellers dokumentiert. Das Sicherheitsupdate installieren.
• Temporäre Härtung (nicht vom Hersteller): TCP-Port 3260 auf dedizierte Storage-Netzwerke beschränken.
• Temporäre Härtung (nicht vom Hersteller): iSCSI-Target-Rolle auf Hosts deaktivieren, die sie nicht benötigen.

Ausnutzung

• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; in den geprüften Quellen nicht im CISA-KEV-Katalog gelistet.
• Kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Zuerst Windows-Server mit iSCSI-Rollen oder iSCSI-Volumes patchen, danach die übrigen betroffenen Systeme im nächsten Zyklus.
• Noch verwendete Windows-10-1607- und 1809-Systeme erfassen und Upgrades oder die Registrierung für ESU planen.
• Prüfen, ob iSCSI (TCP 3260) aus Benutzernetzwerken oder dem Internet erreichbar ist, und auf Storage-Netzwerke beschränken.
• Ungewöhnlichen iSCSI-Verkehr überwachen und den CISA-KEV-Katalog auf Änderungen prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-70038 msrc.microsoft.com
• Microsoft Security Update Guide (en-US): CVE-2026-70038 msrc.microsoft.com
• OpenCVE: CVE-2026-70038 app.opencve.io
• Vulners CVE list: CVE-2026-70038 vulners.com
• Vulners NVD: CVE-2026-70038 vulners.com
• SentinelOne vulnerability database: CVE-2026-70038 www.sentinelone.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 19:35.