Windows Routing and Remote Access Service: Remote Code Execution (Use-after-free)

Zusammenfassung

Ein Use-after-free-Fehler (CWE-416) im Routing and Remote Access Service (RRAS) unterstützter Windows-10-, Windows-11- und Windows-Server-Versionen ermöglicht Remote Code Execution. Ein nicht authentifizierter Angreifer kann präparierten Netzwerkverkehr an einen erreichbaren RRAS-Dienst senden und sich unberechtigten Zugriff auf das System verschaffen, ohne dass eine Benutzerinteraktion nötig ist. Der CVSS-3.1-Basiswert beträgt 9.8 (kritisch). Systeme, auf denen RRAS nicht läuft, sind nicht betroffen.

Betroffen

• Windows 10 Version 1607 und Windows Server 2016 (Builds unterhalb 10.0.14393.9612)
• Windows 10 Version 1809 (Builds unterhalb 10.0.17763.9376)
• Windows 10 Version 21H2 (Builds unterhalb 10.0.19044.7807)
• Windows 10 Version 22H2 (Builds unterhalb 10.0.19045.7807)
• Windows 11 Version 23H2 (Builds unterhalb 10.0.22631.7652)
• Windows 11 Version 24H2 (Builds unterhalb 10.0.26100.9711)
• Windows 11 Version 25H2 (Builds unterhalb 10.0.26200.9711)
• Windows 11 Version 26H1 (Builds unterhalb 10.0.28000.3231)
• Windows 11 Version 26H2 (Builds unterhalb 10.0.26300.9711)
• Windows Server 2012 und Server-Core-Installation (Builds unterhalb 6.2.9200.26434)
• Windows Server 2012 R2 und Server-Core-Installation (Builds unterhalb 6.3.9600.23470)

Die Liste der betroffenen Versionen in den Quellen ist nicht für alle Editionen vollständig. Bitte mit dem MSRC-Advisory abgleichen.

Behoben in

• Windows 10 1607 / Server 2016: 10.0.14393.9612 oder neuer
• Windows 10 1809: 10.0.17763.9376 oder neuer
• Windows 10 21H2: 10.0.19044.7807 oder neuer
• Windows 10 22H2: 10.0.19045.7807 oder neuer
• Windows 11 23H2: 10.0.22631.7652 oder neuer
• Windows 11 24H2: 10.0.26100.9711 oder neuer
• Windows 11 25H2: 10.0.26200.9711 oder neuer
• Windows 11 26H1: 10.0.28000.3231 oder neuer
• Windows 11 26H2: 10.0.26300.9711 oder neuer
• Windows Server 2012: 6.2.9200.26434 oder neuer
• Windows Server 2012 R2: 6.3.9600.23470 oder neuer

Die zugehörigen KB-Nummern sind nicht verifiziert. Sie sind im MSRC Security Update Guide zu finden.

Umgehung

Unbekannt.

• In den geprüften Quellen wurde kein Workaround oder Mitigation des Herstellers gefunden.
• Wo RRAS nicht benötigt wird, ist das Deaktivieren der Rolle oder das Blockieren des Zugriffs per Firewall eine sinnvolle Übergangsmassnahme. Dies ist eine Empfehlung und keine Aussage des Herstellers.

Ausnutzung

• CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
• Nicht im CISA-KEV-Katalog aufgeführt (laut OpenCVE).
• In einer kurzen Recherche wurde kein öffentlicher Proof of Concept und kein Ausnutzungsbericht gefunden. Das bedeutet: bisher nichts bekannt, nicht dass kein Exploit existiert.

Unsere Empfehlung

• Prüfen, ob die RRAS-Rolle auf Systemen installiert ist und ob diese aus dem Internet erreichbar sind. Internetexponierte VPN- und Routing-Server haben Priorität.
• Die genaue Windows-Build-Version bestätigen und so rasch wie möglich patchen. Die Angaben dazu sind im MSRC-Advisory zu finden.
• Windows 10 1607 (LTSB 2016) und Server 2016 sind am ehesten ungepatcht. Die Lifecycle-Seite von Microsoft prüfen, da der Support möglicherweise um das Veröffentlichungsdatum geendet hat.
• RRAS auf Systemen, wo es nicht benötigt wird, deaktivieren oder isolieren und den Zugriff per Firewall-Regeln einschränken.
• Auf öffentliche Exploits und die Aufnahme in den CISA-KEV-Katalog überwachen und wöchentlich erneut prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-85792 msrc.microsoft.com
• OpenCVE: CVE-2026-85792 app.opencve.io
• Vulners NVD mirror: CVE-2026-85792 vulners.com
• Vulners Rapid7 record: CVE-2026-85792 vulners.com
• VulDB: CVE-2026-85792 vuldb.com
• Zero Day Initiative: October 2026 security update review www.zerodayinitiative.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 18:28.