Network Policy Server (NPS): Remote Code Execution durch Integer-Underflow

Zusammenfassung

Der Microsoft Network Policy Server (NPS) enthält einen Integer-Underflow (CWE-191, CWE-121), der einem nicht autorisierten Angreifer aus dem Netzwerk die Ausführung von Code erlaubt. Der CVSS-Wert beträgt 9.8 (kritisch), und es sind weder Berechtigungen noch Benutzerinteraktion erforderlich. Ob ein Risiko für Ihre Organisation besteht und wie dringend es ist, hängt davon ab, ob der NPS von nicht vertrauenswürdigen Netzwerken aus erreichbar ist.

Betroffen

• Windows 10 Version 1607 und Windows Server 2016 (10.0.14393.0 bis vor 10.0.14393.9612)
• Windows 10 Version 1809 (10.0.17763.0 bis vor 10.0.17763.9376)
• Windows 10 Version 21H2 und 22H2 (10.0.19044.0 bis vor 10.0.19044.7807; 10.0.19045.0 bis vor 10.0.19045.7807)
• Windows 11 Versionen 23H2, 24H2, 25H2, 26H1 und 26H2 (genaue Bereiche siehe CNA-Eintrag)
• Windows Server 2012 und 2012 R2, inklusive Server Core (6.2.9200.0 bis vor 6.2.9200.26434; 6.3.9600.0 bis vor 6.3.9600.23470)
• Der CPE-Eintrag im NVD-Datensatz nennt nur Windows 10 1607 und ist unvollständig.

Behoben in

• Installieren Sie das Sicherheitsupdate vom Oktober 2026 auf allen betroffenen Systemen. Der CNA-Eintrag nennt die erste korrigierte Version pro Zweig (zum Beispiel 10.0.14393.9612 für 1607 und Server 2016, 6.2.9200.26434 für Server 2012, 6.3.9600.23470 für Server 2012 R2).
• Prüfen Sie die korrigierte Version für jedes System im Microsoft Security Update Guide, bevor Sie sich darauf verlassen.

Umgehung

Unbekannt. In den Quellen ist kein Workaround des Herstellers aufgeführt.

Ausnutzung

• CISA-SSVC-Daten: Ausnutzung keine, automatisierbar ja, technische Auswirkung total.
• Microsoft stuft die Ausnutzungsreife als nicht nachgewiesen ein (E:U).
• Es wurde kein öffentlicher Proof of Concept gefunden. Der Eintrag war zum Zeitpunkt der Recherche nicht im CISA-KEV-Katalog enthalten; dies ist vorläufig.

Unsere Empfehlung

• Spielen Sie das Update in der ersten Welle auf allen NPS-Servern ein, die von nicht vertrauenswürdigen oder Gäste-Netzwerken oder vom Internet aus erreichbar sind.
• Spielen Sie das Update auf allen übrigen betroffenen NPS-Systemen im normalen Zyklus für kritische Updates ein.
• Prüfen Sie, welche Systeme die NPS-Rolle betreiben und welche Windows-Versionen sie verwenden.
• Beschränken Sie, welche Hosts die RADIUS-Ports des NPS erreichen können, und halten Sie den NPS aus nicht vertrauenswürdigen Segmenten fern. Setzen Sie den NPS niemals dem Internet aus.
• Überwachen Sie die NPS-Protokolle auf ungewöhnlichen Datenverkehr, bis das Patchen abgeschlossen ist.
• Spielen Sie die übrigen Network-Policy-Server-CVEs aus dem Oktober-2026-Update im selben Zyklus ein.
• Überprüfen Sie die Priorität erneut, falls eine Ausnutzung gemeldet wird.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-85806 msrc.microsoft.com
• Vulners NVD: CVE-2026-85806 vulners.com
• OpenCVE: CVE-2026-85806 app.opencve.io
• VulDB: CVE-2026-85806 vuldb.com
• ZDI: October 2026 Security Update Review www.zerodayinitiative.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 18:27.