Windows DHCP Server: Remote Code Execution durch Pufferüberlauf im Stack

Zusammenfassung

Ein Stack-based Buffer Overflow in der Rolle Windows DHCP Server erlaubt einem berechtigten Angreifer, über das Netzwerk Code auszuführen. Der NVD-Score beträgt 8.8 (CVSS 3.1) mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Für die Ausnutzung sind niedrige Privilegien und Netzwerkzugriff auf den DHCP-Dienst nötig, weshalb das Risiko vor allem in internen Netzwerken besteht, insbesondere in flachen Netzwerken.

Betroffen

• Windows 10 Version 1607 (10.0.14393.0 bis unter 10.0.14393.9612)
• Windows 10 Version 1809 (10.0.17763.0 bis unter 10.0.17763.9376)
• Windows Server 2012 und Server Core (6.2.9200.0 bis unter 6.2.9200.26434)
• Windows Server 2012 R2 und Server Core (6.3.9600.0 bis unter 6.3.9600.23470)
• Windows Server 2016 und Server Core (10.0.14393.0 bis unter 10.0.14393.9612)
• Windows Server 2019 und Server Core (10.0.17763.0 bis unter 10.0.17763.9376)
• Windows Server 2022 (10.0.20348.0 bis unter 10.0.20348.5761)
• Windows Server 2025 und Server Core (10.0.26100.0 bis unter 10.0.26100.33650)

Behoben in

Behoben durch die Sicherheitsupdates von Microsoft vom Oktober 2026. Gemäss CVE-Eintrag sind die ersten korrigierten Builds 10.0.14393.9612, 10.0.17763.9376, 6.2.9200.26434, 6.3.9600.23470, 10.0.20348.5761 und 10.0.26100.33650. Gemeldete KB-Nummern (noch gegen MSRC zu prüfen): Windows 10 1607 und Server 2016 KB5126868; Windows 10 1809 und Server 2019 KB5126651; Windows Server 2022 KB5126655; Windows Server 2025 KB5126646; Windows Server 2012 R2 KB5126836. Die genaue KB für Server 2012 ist pro System zu bestätigen.

Umgehung

Unbekannt. Es wurde kein Workaround des Herstellers gefunden. Die Beschränkung des DHCP-Dienstes auf vertrauenswürdige Netzwerksegmente und die Einschränkung des Zugriffs auf DHCP-Server reduziert die Exposition bis zur Installation der Updates.

Ausnutzung

• Kein öffentlicher Proof-of-Concept-Exploit gefunden.
• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
• CISA SSVC (Vulnrichment): Ausnutzung none, automatisierbar no, technische Auswirkung total.
• Tenable-Plugins für die Sicherheitsupdates vom Oktober 2026 tragen das Kennzeichen 'exploit available' und für 1809 ein CISA-KEV-Fälligkeitsdatum 10/16/2026. Diese Kennzeichen gelten für das Bulletin als Ganzes und konnten keinem CVE zugeordnet werden. Den CISA-KEV-Katalog direkt prüfen.

Unsere Empfehlung

• Das kumulative Update vom Oktober 2026 auf allen DHCP-Servern (Server 2012 R2 bis 2025) installieren und den korrigierten Build über den MSRC Security Update Guide bestätigen.
• Bis zur Installation den Zugriff auf den DHCP-Dienst auf vertrauenswürdige Segmente beschränken und prüfen, wer auf DHCP-Server zugreifen kann.
• Die Installation priorisieren, falls die DHCP-Rolle auf einem Domänencontroller oder einem anderen kritischen System läuft.
• DHCP-Server auf ungewöhnliche Aktivitäten überwachen und den CISA-KEV-Katalog auf Änderungen prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-70069 msrc.microsoft.com
• NVD record via Vulners: CVE-2026-70069 vulners.com
• Vulnrichment (CISA ADP) via Vulners: CVE-2026-70069 vulners.com
• OpenCVE: CVE-2026-70069 app.opencve.io
• Tenable plugin 365471 (Windows 10 1607 / Server 2016, October 2026) www.tenable.com
• Tenable plugin 365475 (Windows 10 1809 / Server 2019, October 2026) www.tenable.com
• Tenable plugin 365470 (Windows Server 2022, October 2026) www.tenable.com
• Senserva KB 5126836 (Windows Server 2012 R2) senserva.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 19:00.