Windows PowerShell: Remote Code Execution durch unsichere Eingaben

Zusammenfassung

Windows PowerShell stützt eine Sicherheitsentscheidung auf unsichere Eingaben, wodurch ein nicht autorisierter Angreifer über ein Netzwerk Code ausführen kann. Microsoft bewertet die Schwachstelle mit CVSS 8.8 (Hoch), der Vektor setzt jedoch zusätzlich eine Benutzerinteraktion voraus, was der Beschreibung zum Angreifer widerspricht. Betroffen sind unterstützte und nicht mehr unterstützte Windows-10-, Windows-11- und Windows-Server-2012- bis 2016-Systeme unterhalb der korrigierten Builds.

Betroffen

• Windows 10 Version 1607 und Windows Server 2016: unterhalb 10.0.14393.9612
• Windows 10 Version 1809: unterhalb 10.0.17763.9376
• Windows 10 21H2 und 22H2: unterhalb 10.0.19044.7807 bzw. 10.0.19045.7807
• Windows 11 23H2: unterhalb 10.0.22631.7652
• Windows 11 24H2, 25H2 und 26H2: unterhalb 10.0.26100.9711, 10.0.26200.9711 bzw. 10.0.26300.9711
• Windows 11 26H1: unterhalb 10.0.28000.3231
• Windows Server 2012 und 2012 R2 (inklusive Server Core): unterhalb 6.2.9200.26434 bzw. 6.3.9600.23470

Behoben in

• Das kumulative Oktober-2026-Update für die betroffene Windows-Version installieren. Die korrigierten Builds sind oben aufgeführt.
• KB-Nummern für Windows 10 1607 und Windows Server 2016: Unbekannt.

Umgehung

• Unbekannt. Es wurde kein vom Hersteller dokumentierter Workaround gefunden; das Einspielen des Patches ist die einzige in den Quellen genannte Korrektur.
• Falls kein Patch verfügbar ist, den PowerShell-Remoting-Zugriff (WinRM) und den Netzwerkzugriff auf den betroffenen Host einschränken. Dies ist eine Empfehlung und keine Herstellermassnahme.

Ausnutzung

• Stand 31. Oktober 2026 ist keine Ausnutzung bekannt. CISA SSVC führt die Ausnutzung als keine.
• Die Reife des Exploit-Codes ist Unproven (E:U). Es wurde kein öffentlicher Proof of Concept gefunden.
• Der EPSS-Wert lag zum Zeitpunkt der Recherche bei rund 0,7 %.

Unsere Empfehlung

• Alle Windows-10-1607-, Windows-Server-2016- und weiteren betroffenen Hosts inventarisieren und prüfen, ob sie noch unterstützt werden.
• Die Oktober-2026-Updates auf allen unterstützten Systemen installieren. Für nicht mehr unterstützte Systeme Ersatz oder Isolation planen.
• WinRM- und Netzwerkzugriff auf ungepatchte Hosts einschränken und Änderungen des Ausnutzungsstatus überwachen (CISA KEV, MSRC-Revisionen).
• Das MSRC-Advisory direkt prüfen, um die korrigierten Builds und KB-Nummern zu bestätigen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide: CVE-2026-85817 msrc.microsoft.com
• Vulners NVD mirror: CVE-2026-85817 vulners.com
• Vulners MSCVE mirror: CVE-2026-85817 vulners.com
• Patchapalooza: CVE-2026-85817 patchapalooza.com
• Strix: CVE-2026-85817 www.strix.ai
• OpenCVE: CVE-2026-85817 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 18:21.