Microsoft Windows: Remote Code Execution durch Use-after-Free in Microsoft XML

Zusammenfassung

Eine Use-after-Free-Schwachstelle in der Microsoft-XML-Komponente von Windows erlaubt einem nicht autorisierten Angreifer, über das Netzwerk Code auszuführen. Der CVSS-Basiswert beträgt 8.1 (hoch), die Angriffskomplexität wird jedoch als hoch eingestuft. Die Exposition hängt davon ab, ob Systeme nicht vertrauenswürdiges XML aus dem Netzwerk verarbeiten, zum Beispiel über Webdienste, E-Mail oder die Dokumentverarbeitung.

Betroffen

• Windows 10 Version 1607 und Windows Server 2016 (10.0.14393.0 bis vor 10.0.14393.9612)
• Windows 10 Version 1809 und Windows Server 2019 (10.0.17763.0 bis vor 10.0.17763.9376)
• Windows 10 Version 21H2 (10.0.19044.0 bis vor 10.0.19044.7807)
• Windows 10 Version 22H2 (10.0.19045.0 bis vor 10.0.19045.7807)
• Windows 11 Version 23H2 (10.0.22631.0 bis vor 10.0.22631.7652)
• Windows 11 Version 24H2, 25H2 und 26H2 (10.0.26100.0 bis vor 10.0.26100.9711; 10.0.26200.0 bis vor 10.0.26200.9711; 10.0.26300.0 bis vor 10.0.26300.9711)
• Windows 11 Version 26H1 (10.0.28000.0 bis vor 10.0.28000.3231)
• Windows Server 2012 und 2012 R2, inklusive Server-Core-Installationen (6.2.9200.0 bis vor 6.2.9200.26434; 6.3.9600.0 bis vor 6.3.9600.23470)

Behoben in

• Installieren Sie das Sicherheitsupdate von Microsoft für die betroffene Build-Version. Korrigierte Builds gemäss den CNA-Daten: 10.0.14393.9612 (1607, Server 2016), 10.0.17763.9376 (1809, Server 2019), 10.0.19044.7807 (21H2), 10.0.19045.7807 (22H2), 10.0.22631.7652 (23H2), 10.0.26100.9711 (24H2), 10.0.26200.9711 (25H2), 10.0.26300.9711 (26H2), 10.0.28000.3231 (26H1), 6.2.9200.26434 (Server 2012), 6.3.9600.23470 (Server 2012 R2).
• Korrekturen für Windows 10 1607 und Server 2016 wurden nicht bestätigt; prüfen Sie die KB-Nummer im MSRC Security Update Guide.
• Die korrigierten Builds für Windows Server 2012 und 2012 R2 stammen nur aus den CNA-Daten; prüfen Sie diese auf der MSRC-Seite.

Umgehung

• Unbekannt. Ein Aggregator schlägt vor, XML-Parsing-Dienste einzuschränken oder zu deaktivieren oder Gruppenrichtlinien zu erzwingen, falls das Patchen verzögert werden muss. Dies konnte nicht anhand der Herstellerinformationen verifiziert werden.
• Testen Sie solche Einschränkungen zuerst, da das Deaktivieren der XML-Verarbeitung Anwendungen beeinträchtigen kann.

Ausnutzung

• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Nicht im CISA-KEV-Katalog aufgeführt.
• Der EPSS-Wert liegt unter 1 Prozent (etwa 0,7 bis 0,8 Prozent).
• Im Rahmen der Recherche wurde kein öffentlicher Proof of Concept gefunden; dies beweist nicht, dass keiner existiert.
• Widerspruch: Eine Auswertung der ZDI ordnet diese CVE Fehlern zu, die einen lokalen, autorisierten Angreifer erfordern, was der NVD-Beschreibung widerspricht. Bis das MSRC-Advisory geprüft ist, sollte von einer netzwerkbasierten Ausnutzbarkeit ausgegangen werden.

Unsere Empfehlung

• Priorisieren Sie das Patchen, beginnend mit aus dem Internet erreichbaren Servern und Systemen mit Windows 10 1607, 1809 oder 21H2 bzw. Windows Server 2012, 2012 R2 oder 2016.
• Prüfen Sie vor der Planung des Updates den Lifecycle- und ESU-Status älterer Versionen bei Microsoft.
• Vergleichen Sie die installierten Builds mit den oben aufgeführten korrigierten Versionen.
• Identifizieren Sie Systeme und Anwendungen, die XML aus nicht vertrauenswürdigen Netzwerkquellen verarbeiten, und überwachen Sie diese auf auffällige Abstürze oder Codeausführung.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-83914 msrc.microsoft.com
• OpenCVE: CVE-2026-83914 app.opencve.io
• Vulners Microsoft mirror: MS:CVE-2026-83914 vulners.com
• Vulners NVD mirror: NVD:CVE-2026-83914 vulners.com
• Vulners Rapid7 mirror (EPSS): RAPID7:CVE-2026-83914 vulners.com
• Zero Day Initiative: October 2026 Security Update Review www.zerodayinitiative.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 19:24.