Microsoft Windows Server RD Gateway: Use-after-Free ermöglicht Rechteausweitung

Zusammenfassung

Eine Use-after-Free-Schwachstelle (CWE-416) im Remote Desktop Gateway Service von Windows Server erlaubt einem berechtigten Angreifer über das Netzwerk, seine Rechte zu erweitern. Der Angreifer benötigt ein gültiges Konto mit niedrigen Rechten, und die Angriffskomplexität wird als hoch eingestuft. Der CVSS-Basiswert von Microsoft beträgt 7.5, und NVD hat die Analyse noch nicht abgeschlossen.

Betroffen

• Windows Server 2016 und Server-Core-Installation: 10.0.14393.0 vor 10.0.14393.9688
• Windows Server 2019 und Server-Core-Installation: 10.0.17763.0 vor 10.0.17763.9487
• Windows Server 2022: 10.0.20348.0 vor 10.0.20348.5870 (im CVE-Eintrag aufgeführt; noch nicht im MSRC-Produktbaum bestätigt)
• Windows Server 2025 und Server-Core-Installation: 10.0.26100.0 vor 10.0.26100.33822 (im CVE-Eintrag aufgeführt; noch nicht im MSRC-Produktbaum bestätigt)

Behoben in

• Windows Server 2016: 10. November 2026, KB5131291 (Betriebssystem-Build 14393.9688)
• Windows Server 2019: Update vom November 2026, KB5131085 (Build 17763.9487), wie auf der Microsoft-Updateseite aufgeführt
• Windows Server 2022 und 2025: Unbekannt. Die KB, die diese CVE behebt, konnte nicht bestätigt werden.

Umgehung

Unbekannt. Es ist keine Umgehungslösung dokumentiert. Das Einspielen von Patches ist die einzige dokumentierte Behebung.

Ausnutzung

• Microsoft führt die Schwachstelle als nicht öffentlich bekannt und nicht ausgenutzt.
• In einer begrenzten Recherche wurden weder öffentlicher Proof-of-Concept-Code noch ein Eintrag im CISA-KEV-Katalog gefunden. Dies bestätigt jedoch nicht, dass keine Ausnutzung stattfindet.

Unsere Empfehlung

• Das Sicherheitsupdate vom November 2026 auf allen betroffenen Windows-Server-Systemen einspielen, insbesondere auf Servern mit der Rolle RD Gateway.
• Den Fix-Build für Windows Server 2022 und 2025 im MSRC Security Update Guide prüfen, bevor man sich darauf verlässt.
• Prüfen, welche Konten das RD Gateway erreichen können, und starke, eindeutige Passwörter sowie MFA durchsetzen.
• Prüfen, ob das RD Gateway aus dem Internet erreichbar ist, und den Zugriff einschränken, wo er nicht benötigt wird.
• Die im Oktober 2026 veröffentlichten weiteren Use-after-Free-Schwachstellen im RD Gateway im gleichen Patch-Zyklus prüfen.
• Die Migration von Windows Server 2016 planen, da der Support im Januar 2027 endet.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-80094 msrc.microsoft.com
• CVE Record CVE-2026-80094 (CVE.org) www.cve.org
• KB5131291 Windows 10 1607 / Windows Server 2016 security update support.microsoft.com
• Windows message center (release health) learn.microsoft.com
• Strix CVE-2026-80094 (third-party, not verified) www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 05:12.