Microsoft .NET: Remote Code Execution durch Deserialisierung nicht vertrauenswürdiger Daten

Zusammenfassung

Die Deserialisierung nicht vertrauenswürdiger Daten in Microsoft .NET, einschliesslich der WPF-Desktop-Laufzeitumgebung unter Windows, erlaubt einem nicht autorisierten Angreifer über das Netzwerk die Ausführung von Code. Voraussetzung ist, dass ein Benutzer ein präpariertes Dokument, etwa eine XPS- oder Fixed-Format-Datei, in einer verwundbaren Anwendung öffnet. Microsoft und NVD bewerten die Schwachstelle mit CVSS 8.8, während CISA SSVC keine Ausnutzung und eine totale technische Auswirkung angibt.

Betroffen

• Microsoft .NET 8.0: 8.0.0 bis vor 8.0.32
• Microsoft .NET 9.0: 9.0.0 bis vor 9.0.21
• Microsoft .NET 10.0: 10.0.0 bis vor 10.0.13
• Microsoft .NET 11.0 Previews: 11.0.0 bis vor 11.0.0-rc.2
• Microsoft .NET Framework-Versionen gemäss MSRC-Advisory (u. a. 3.5, 4.6.2 bis 4.8.1)
• Microsoft Visual Studio 2022 Version 17.14: vor 17.14.42
• Microsoft Visual Studio 2026 Version 18.10: vor 18.10.4
• .NET 6: von Microsoft nicht bewertet; ein Drittanbieter meldet eine Betroffenheit (nicht verifiziert)

Behoben in

• .NET 8.0: 8.0.32
• .NET 9.0: 9.0.21
• .NET 10.0: 10.0.13
• .NET 11.0: 11.0.0-rc.2
• Visual Studio 2026 Version 18.10: 18.10.4
• Visual Studio 2022 Version 17.14: korrigierter Build nicht bestätigt
• .NET Framework: korrigierte Builds je Windows-Version siehe MSRC-Advisory (z. B. kumulatives Update KB5127694 für Windows 11 26H2)

Umgehung

• Keine vom Hersteller dokumentierte Workaround-Massnahme. Patches einspielen.
• Übergangsmassnahme (nicht aus einer Quelle): Bis zum Patch keine nicht vertrauenswürdigen XPS- oder Fixed-Format-Dokumente in WPF-Anwendungen öffnen.

Ausnutzung

• Öffentlicher Exploit: keiner bekannt (VulDB meldet keinen verfügbaren Exploit).
• Aktive Ausnutzung: nichts bekannt. Eintrag im CISA KEV nicht verifiziert.
• EPSS 1.3 % (OpenCVE).
• Credits: Dr.-Ing Ashar Javed und Vincent55 Yang.

Unsere Empfehlung

• Systeme mit .NET 8, 9, 10 oder 11, .NET Framework sowie Visual Studio 2022 17.14 oder 2026 18.10 inventarisieren.
• Die Windows- und .NET-Updates vom Oktober 2026 sowie die korrigierten Visual-Studio-Builds installieren.
• Entwickler sollten Paketreferenzen auf die gepatchten Laufzeitversionen aktualisieren.
• Bis zum Patch das Öffnen nicht vertrauenswürdiger XPS- oder Fixed-Format-Dokumente vermeiden und Phishing-Mails sowie heruntergeladene Dateien filtern.
• Auf ungewöhnliche Prozessstarts aus Dokumentbetrachtern achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-83520 msrc.microsoft.com
• GitHub Advisory GHSA-4w5f-7jp2-w48g github.com
• Microsoft support: October 13, 2026 cumulative update (KB5127694) support.microsoft.com
• Visual Studio 2026 release notes learn.microsoft.com
• HeroDevs vulnerability directory: CVE-2026-83520 www.herodevs.com
• VulDB entry 418744 vuldb.com
• OpenCVE: CVE-2026-83520 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 18:38.