Windows RRAS: Nullzeiger-Dereferenzierung führt zu Denial of Service

Zusammenfassung

Eine Nullzeiger-Dereferenzierung im Windows Routing and Remote Access Service (RRAS) erlaubt einem nicht authentifizierten Angreifer, den Dienst über das Netzwerk zum Absturz zu bringen, was einen Denial of Service auslöst. Es ist keine Anmeldung erforderlich, daher hängt das Risiko davon ab, ob RRAS aktiviert und aus unvertrauenswürdigen Netzwerken erreichbar ist. Die Auswirkung beschränkt sich auf die Verfügbarkeit; ein Verlust der Vertraulichkeit oder Integrität wird nicht angegeben.

Betroffen

• Windows 10 Version 1607 (10.0.14393.0 bis < 10.0.14393.9612)
• Windows Server 2016 (10.0.14393.0 bis < 10.0.14393.9612)
• Windows 10 Version 1809, 21H2, 22H2
• Windows 11 Version 23H2, 24H2, 25H2, 26H1, 26H2
• Windows Server 2012 und 2012 R2 (inklusive Server-Core-Installation)
• Windows Server 2019, 2022 und 2025 (nur in Sekundärquellen aufgeführt)

Behoben in

• Windows 10 1607 und Windows Server 2016: Build 10.0.14393.9612 (KB5126868, 13. Oktober 2026)
• Windows 10 1607 und Windows Server 2016: Build 10.0.14393.9615 (KB5134123, Out-of-band, 26. Oktober 2026), welches die Korrektur aus 9612 enthält
• Andere Produkte: Builds auf oder über den unter Betroffen aufgeführten Schwellenwerten, gemäss CVE-Eintrag

Umgehung

• Es ist kein CVE-spezifischer Workaround bekannt.
• Falls RRAS nicht benötigt wird, die Rolle oder den Dienst deaktivieren.
• Den Zugriff auf RRAS aus unvertrauenswürdigen Netzwerken mit einer Firewall blockieren.

Ausnutzung

• CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial.
• Es wurden keine Hinweise auf Ausnutzung in freier Wildbahn und kein öffentlicher Proof of Concept gefunden; dies ist keine bestätigte Abwesenheit.
• EPSS-Score: 0.01149 (niedrig).

Unsere Empfehlung

• Prüfen, ob RRAS aktiviert und aus unvertrauenswürdigen Netzwerken erreichbar ist, und falls nicht benötigt, deaktivieren oder mit einer Firewall absichern.
• Windows-10-1607- und Windows-Server-2016-Systeme inventarisieren.
• Build 10.0.14393.9615 oder den zum eigenen Produkt passenden Build im nächsten Wartungsfenster installieren.
• Lifecycle-Widerspruch beachten: Die Release-Health-Seite von Microsoft gibt an, dass Windows 10 Enterprise LTSB 2016 seit dem 13. Oktober 2026 keine Updates mehr erhält, während die Release-Information-Seite Build 14393.9615 mit ESU auflistet. Die für die eigene Lizenz zutreffende Angabe bestätigen. Consumer-Geräte mit 1607 sind nicht mehr unterstützt und sollten ersetzt oder auf eine ESU-Lösung umgestellt werden.
• Nach dem Patchen auf gemeldete Exchange-E-Mail-Probleme im Zusammenhang mit dem Oktober-2026-Update für 1607 achten und vor dem Anwenden eines Workarounds die Known-Issues-Seite von Microsoft prüfen.
• Die CISA-KEV-Liste und öffentliche Exploit-Quellen regelmässig prüfen.
• Keine Massnahme nötig für Systeme ohne RRAS und ohne betroffene Builds.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-84017 msrc.microsoft.com
• KB5126868: Windows 10 1607 security update support.microsoft.com
• KB5134123: Windows 10 1607 update support.microsoft.com
• Windows 10 1607 and Windows Server 2016 release health status learn.microsoft.com
• Windows release information learn.microsoft.com
• NVD record via Vulners vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 18:41.