Microsoft Windows Active Directory Domain Services: Denial of Service durch Out-of-Bounds Read

Zusammenfassung

Ein Out-of-Bounds Read in Active Directory Domain Services (AD DS) unter Windows erlaubt einem nicht authentifizierten Angreifer im Netzwerk, einen Denial-of-Service auszulösen. Es sind weder Zugangsdaten noch Benutzerinteraktion erforderlich. Ein erfolgreicher Angriff kann den Verzeichnisdienst auf betroffenen Domain Controllern stören und dadurch Anmeldungen im gesamten Unternehmen blockieren.

Betroffen

• Windows Server 2016 (Build 10.0.14393.0 bis < 10.0.14393.9612), inklusive Server Core
• Windows Server 2019 (Build 10.0.17763.0 bis < 10.0.17763.9376)
• Windows Server 2012 R2 (Build 6.3.9600.0 bis < 6.3.9600.23470), inklusive Server Core
• Windows 10 Version 1607 (Build 10.0.14393.0 bis < 10.0.14393.9612), im CPE-Eintrag aufgeführt
• Windows 10 Version 1809, 21H2, 22H2 sowie Windows 11 23H2, 24H2, 25H2, 26H1, 26H2 (Bereiche gemäss CVE-Eintrag)
• Hinweis: Die vollständige Produkttabelle von MSRC konnte nicht vollständig verifiziert werden.

Behoben in

• Windows Server 2016 und Windows 10 1607: Build 10.0.14393.9612 oder neuer (Zuordnung zu KB5126868 nicht verifiziert, auf MSRC prüfen)
• Windows Server 2019 und Windows 10 1809: Build 10.0.17763.9376 oder neuer (Tenable nennt KB5126651, nicht verifiziert)
• Windows Server 2012 R2: Build 6.3.9600.23470 oder neuer
• Windows 11 sowie Windows 10 21H2/22H2: Fixed-Builds siehe MSRC

Umgehung

• Kein Workaround des Herstellers bekannt.
• Den Zugriff auf Domain Controller auf Netzwerkebene auf notwendige Hosts beschränken.

Ausnutzung

• CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial.
• EPSS etwa 1,3 Prozent (0,01298).
• MSRC-Einstufung der Exploit-Reife: unproven.
• In einer begrenzten Recherche wurde kein öffentlicher Proof of Concept und keine Ausnutzung in freier Wildbahn gefunden.

Unsere Empfehlung

• Prüfen, welche Hosts tatsächlich die Rolle AD DS betreiben; der CPE-Eintrag Windows 10 1607 könnte eine Zuordnungsfehler sein.
• Das Sicherheitsupdate vom Oktober 2026 auf allen Domain Controllern installieren und den Fixed-Build auf der MSRC-Seite verifizieren.
• Jedes noch genutzte Windows 10 1607 System aktualisieren, da es keine Updates mehr erhält.
• Den Zugriff auf Domain Controller auf benötigte Hosts beschränken und auf Dienstausfälle sowie ungewöhnlichen Datenverkehr zu diesen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-83647 msrc.microsoft.com
• Microsoft: Windows 10 1607 and Windows Server 2016 release health status learn.microsoft.com
• OpenCVE: CVE-2026-83647 app.opencve.io
• Vulners: NVD:CVE-2026-83647 vulners.com
• Strix: CVE-2026-83647 www.strix.ai
• Patch Tuesday updates October 2026 (ManageEngine) pitstop.manageengine.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 18:53.