Microsoft Windows RRAS: Schwachstelle für Remote Code Execution

Zusammenfassung

Eine Remote Code Execution-Schwachstelle im Windows Routing and Remote Access Service (RRAS) erlaubt es einem Angreifer, Code auf einem betroffenen System auszuführen. Der CVSS-Vektor (9.8, kritisch) stuft die Schwachstelle als über das Netzwerk erreichbar mit niedriger Komplexität ein, ohne Berechtigungen und ohne Benutzerinteraktion. Der CVE-Eintrag beschreibt einen heapbasierten Pufferüberlauf (CWE-122). Betroffen sind Windows 10, Windows 11 und Windows Server 2012 bis 2016, gemäss der Liste unten.

Betroffen

• Windows 10 Version 1607: 10.0.14393.0 bis vor 10.0.14393.9612
• Windows 10 Version 1809: 10.0.17763.0 bis vor 10.0.17763.9376
• Windows 10 Version 21H2: 10.0.19044.0 bis vor 10.0.19044.7807
• Windows 10 Version 22H2: 10.0.19045.0 bis vor 10.0.19045.7807
• Windows 11 Version 23H2: 10.0.22631.0 bis vor 10.0.22631.7652
• Windows 11 Version 24H2: 10.0.26100.0 bis vor 10.0.26100.9711
• Windows 11 Version 25H2: 10.0.26200.0 bis vor 10.0.26200.9711
• Windows 11 Version 26H1: 10.0.28000.0 bis vor 10.0.28000.3231
• Windows 11 Version 26H2: 10.0.26300.0 bis vor 10.0.26300.9711
• Windows Server 2012 (inklusive Server Core): 6.2.9200.0 bis vor 6.2.9200.26434
• Windows Server 2012 R2 (inklusive Server Core): 6.3.9600.0 bis vor 6.3.9600.23470
• Windows Server 2016: 10.0.14393.0 bis vor 10.0.14393.9612

Behoben in

• Windows 10 Version 1607 und Windows Server 2016: 10.0.14393.9612
• Windows 10 Version 1809: 10.0.17763.9376
• Windows 10 Version 21H2: 10.0.19044.7807
• Windows 10 Version 22H2: 10.0.19045.7807
• Windows 11 Version 23H2: 10.0.22631.7652
• Windows 11 Version 24H2 und 25H2: 10.0.26100.9711 und 10.0.26200.9711
• Windows 11 Version 26H1: 10.0.28000.3231
• Windows 11 Version 26H2: 10.0.26300.9711
• Windows Server 2012 (inklusive Server Core): 6.2.9200.26434
• Windows Server 2012 R2 (inklusive Server Core): 6.3.9600.23470

Quelle: Microsoft Security Update Guide. Vor dem Rollout gegen MSRC prüfen.

Umgehung

• Im CVE-Eintrag ist kein Workaround dokumentiert.
• Falls RRAS auf einem System nicht benötigt wird, die Rolle deaktivieren.
• Falls RRAS benötigt wird, den Zugriff auf die VPN- und Verwaltungsschnittstellen auf vertrauenswürdige Netze beschränken.

Ausnutzung

• CISA SSVC: Exploitation none, automatisierbar ja, technische Auswirkung total.
• Nicht im CISA-KEV-Katalog aufgeführt.
• Stand 30. Okt. 2026 ist kein öffentlicher Exploit und keine Ausnutzung in freier Wildbahn bekannt. Dies beweist nicht, dass keiner existiert.

Unsere Empfehlung

• Windows-Systeme mit RRAS-Rolle inventarisieren, insbesondere Systeme mit Windows 10 Version 1607.
• Das Microsoft-Update auf allen betroffenen Systemen einspielen oder nicht mehr unterstützte Windows-10-1607-Systeme ausser Betrieb nehmen.
• RRAS bis zur Behebung auf vertrauenswürdige Netze beschränken und nie direkt aus dem Internet erreichbar machen.
• Von einer Ausnutzung über das Netzwerk ausgehen, da eine Drittquelle nur einen lokalen Angreifer beschreibt.
• Auf einen öffentlichen Exploit oder eine KEV-Aufnahme achten und die Bewertung bei Bedarf anpassen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-85809 msrc.microsoft.com
• NVD mirror: CVE-2026-85809 (Vulners) vulners.com
• Microsoft advisory mirror: MS:CVE-2026-85809 (Vulners) vulners.com
• OpenCVE: CVE-2026-85809 app.opencve.io
• Zero Day Initiative: October 2026 Security Update Review www.thezdi.com
• Rapid7 classification mirror: RAPID7:CVE-2026-85809 (Vulners) vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 18:25.