Microsoft Windows: Remote Code Execution in PPP EAP-TLS

Zusammenfassung

Ein heap-basierter Pufferüberlauf in der EAP-TLS-Komponente des Remote Access Point-to-Point Protocol (PPP) mehrerer Windows-Client- und Serverversionen erlaubt es einem nicht autorisierten Angreifer, über das Netzwerk Code auszuführen. Laut CVSS-Vektor (AV:N/AC:L/PR:N/UI:N) sind keine Berechtigungen und keine Benutzerinteraktion nötig, daher sind aus dem Internet erreichbare RRAS- oder VPN-Server, die diese Authentifizierung nutzen, das Hauptrisiko. Microsoft stuft die Lücke als Important ein; der CVSS-3.1-Basiswert beträgt 9.8 (Critical), während Positive Technologies sie mit 6.6 (Medium) bewertet.

Betroffen

• Windows 10 Version 1607: 10.0.14393.0 bis unter 10.0.14393.9612
• Windows 10 Version 1809: 10.0.17763.0 bis unter 10.0.17763.9376
• Windows 10 Version 21H2: 10.0.19044.0 bis unter 10.0.19044.7807
• Windows 10 Version 22H2: 10.0.19045.0 bis unter 10.0.19045.7807
• Windows 11 Version 23H2: 10.0.22631.0 bis unter 10.0.22631.7652
• Windows 11 Version 24H2: 10.0.26100.0 bis unter 10.0.26100.9711
• Windows 11 Version 25H2: 10.0.26200.0 bis unter 10.0.26200.9711
• Windows 11 Version 26H1: 10.0.28000.0 bis unter 10.0.28000.3231
• Windows 11 Version 26H2: 10.0.26300.0 bis unter 10.0.26300.9711
• Windows Server 2012 (inkl. Server Core): 6.2.9200.0 bis unter 6.2.9200.26434
• Windows Server 2012 R2 (inkl. Server Core): 6.3.9600.0 bis unter 6.3.9600.23470
• Windows Server 2016: 10.0.14393.0 bis unter 10.0.14393.9612
• Windows Server 2019, 2022, 2025: nicht im offiziellen CVE-Eintrag aufgeführt; Drittquellen weichen ab, auf der MSRC-Seite prüfen

Behoben in

• Korrigierte Builds gemäss offiziellem CVE-Eintrag: Windows 10 1607 und Server 2016 10.0.14393.9612; 1809 10.0.17763.9376; 21H2 und 22H2 10.0.19044.7807 / 10.0.19045.7807; Windows 11 23H2 10.0.22631.7652; 24H2 und 25H2 10.0.26100.9711 / 10.0.26200.9711; 26H1 10.0.28000.3231; 26H2 10.0.26300.9711; Server 2012 6.2.9200.26434; Server 2012 R2 6.3.9600.23470
• Das Sicherheitsupdate vom Oktober 2026 für jede Plattform installieren. Die KB-Nummern konnten aus den Quellen nicht bestätigt werden; auf der MSRC-Seite prüfen.

Umgehung

Unbekannt.

• Falls Remote Access (RRAS), VPN oder PPP-basierter Fernzugriff auf einem Host nicht benötigt wird, diesen deaktivieren und die Ports an der Perimeter-Firewall blockieren (allgemeine Empfehlung, keine vom Hersteller dokumentierte Massnahme).

Ausnutzung

• Keine Ausnutzung in freier Wildbahn bekannt; CISA SSVC erfasst die Ausnutzung als none.
• CISA SSVC: automatisierbar ja, technische Auswirkung total.
• Kein öffentlicher Proof-of-Concept gefunden.
• Nicht im CISA-KEV-Katalog aufgeführt. EPSS-Wert 0.00893 (niedrig).

Unsere Empfehlung

• Zuerst aus dem Internet erreichbare RRAS- und VPN-Server patchen, danach die übrigen betroffenen Windows-Hosts mit dem kumulativen Update vom Oktober 2026.
• Inventarisieren, wo RRAS, VPN oder PPP-EAP-TLS-Fernzugriff aktiviert ist, und nicht benötigte Dienste deaktivieren.
• Veraltete Systeme (Windows 10 1607, Server 2012 und 2012 R2), die nicht gepatcht werden können, ersetzen oder isolieren; den Supportstatus auf der Lifecycle-Seite von Microsoft prüfen.
• VPN- und Fernzugriffsprotokolle auf ungewöhnliche Authentifizierungen oder Abstürze überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Response Center: CVE-2026-84015 msrc.microsoft.com
• NVD mirror (Vulners): CVE-2026-84015 vulners.com
• Microsoft advisory mirror (Vulners): MS:CVE-2026-84015 vulners.com
• OpenCVE: CVE-2026-84015 app.opencve.io
• Rapid7 mirror (Vulners): CVE-2026-84015 vulners.com
• Strix: CVE-2026-84015 www.strix.ai
• Ugetfix: KB5126651 update information ugetfix.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 18:30.