Microsoft Windows DNS Server: Remote Code Execution durch Integer-Underflow

Zusammenfassung

Der Microsoft Windows DNS Server enthält einen Integer-Underflow (CWE-191), der es einem nicht authentifizierten Angreifer erlaubt, über das Netzwerk Code aus der Ferne auszuführen. Es ist keine Benutzerinteraktion nötig, und Microsoft bewertet den CVSS-3.1-Basiswert mit 9.8 (kritisch), wobei Microsoft selbst die Schwere als wichtig einstuft. Systeme mit der DNS-Server-Rolle, die aus unvertrauenswürdigen Netzen erreichbar sind, sind am stärksten gefährdet.

Betroffen

• Windows 10 Version 1607 (Build 10.0.14393.0 bis < 10.0.14393.9612)
• Windows 10 Version 1809 (Build 10.0.17763.0 bis < 10.0.17763.9376)
• Windows 10 Version 21H2 (Build 10.0.19044.0 bis < 10.0.19044.7807)
• Windows 10 Version 22H2 (Build 10.0.19045.0 bis < 10.0.19045.7807)
• Windows 11 Version 23H2 (Build 10.0.22631.0 bis < 10.0.22631.7652)
• Windows 11 Version 24H2 (Build 10.0.26100.0 bis < 10.0.26100.9711)
• Windows 11 Version 25H2 (Build 10.0.26200.0 bis < 10.0.26200.9711)
• Windows 11 Version 26H1 (Build 10.0.28000.0 bis < 10.0.28000.3231)
• Windows 11 Version 26H2 (Build 10.0.26300.0 bis < 10.0.26300.9711)
• Windows Server 2012 inkl. Server Core (Build 6.2.9200.0 bis < 6.2.9200.26434)
• Windows Server 2012 R2 inkl. Server Core (Build 6.3.9600.0 bis < 6.3.9600.23470)
• Windows Server 2016 (Build 10.0.14393.0 bis < 10.0.14393.9612)

Behoben in

• Das Microsoft-Sicherheitsupdate vom Oktober 2026 installieren (veröffentlicht am 13. Oktober 2026).
• Behobene Builds gemäss CVE-Eintrag: 10.0.14393.9612 (Windows 10 1607, Server 2016), 10.0.17763.9376 (1809), 10.0.19045.7807 (22H2), 10.0.22631.7652 (23H2), 10.0.26100.9711 (24H2), 6.3.9600.23470 (Server 2012 R2), 6.2.9200.26434 (Server 2012).
• Die genauen Builds vor der Verteilung in der betroffenen Produkttabelle von MSRC prüfen. Für Windows 10 1607 und Server 2016 wurde keine KB-Nummer bestätigt.

Umgehung

Unbekannt. Es wurde kein vom Hersteller dokumentierter Workaround gefunden.

• Provisorische Massnahmen, nicht vom Hersteller: DNS (TCP/UDP 53) auf benötigte Quellen beschränken, sicherstellen, dass interne DNS-Server nicht aus dem Internet erreichbar sind, und auf Dienstabstürze des DNS-Dienstes sowie ungewöhnlichen Verkehr überwachen.

Ausnutzung

• Die CISA-SSVC-Daten führen die Ausnutzung als "none" und die Automatisierbarkeit als "yes".
• Laut OpenCVE ist die CVE nicht im KEV-Katalog der CISA aufgeführt.
• Bei der Recherche wurde kein öffentlicher Proof-of-Concept gefunden. Dies beweist nicht, dass keiner existiert.
• Die Schätzung von VulDB für einen Exploit von etwa USD 25k–100k ist eine Marktschätzung und kein Nachweis einer Ausnutzung.

Unsere Empfehlung

• Alle Windows-Systeme mit DNS-Server-Rolle zuerst patchen, dabei internetseitig exponierte und segmentübergreifende Server priorisieren.
• Windows 10 1607 LTSB hat das Support-Ende am 13. Oktober 2026 erreicht. Die ESU-Berechtigung jetzt prüfen; ohne ESU das System ersetzen oder isolieren.
• Den Bestand auf die DNS-Server-Rolle prüfen, auch auf Windows-10-Clients; dies ist noch zu verifizieren.
• DNS-Zugriffe einschränken, die Exposition gegenüber dem Internet sowie Gast- und IoT-Segmenten blockieren und DNS-Logs überwachen.
• KEV und das Exploited-Flag von MSRC in den kommenden Tagen erneut prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-83869 msrc.microsoft.com
• Microsoft Security Update Guide (en-US): CVE-2026-83869 msrc.microsoft.com
• Vicarius: Microsoft October 2026 Patch Tuesday www.vicarius.io
• Vulners NVD entry: CVE-2026-83869 vulners.com
• OpenCVE: CVE-2026-83869 app.opencve.io
• VulDB: CVE-2026-83869 vuldb.com
• 4sysops: Windows 10 Enterprise LTSB 2016 end of support and ESU 4sysops.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 18:33.