Windows Remote Access Connection Manager: Lokale Rechteerweiterung durch Heap-Überlauf

Zusammenfassung

Ein Heap-basierter Pufferüberlauf in der Komponente Windows Remote Access Connection Manager erlaubt einem berechtigten lokalen Benutzer mit niedrigen Rechten, seine Privilegien zu erweitern. Microsoft stuft die Schwachstelle mit CVSS 3.1 7.8 (Hoch) ein. Für die Ausnutzung ist ein gültiges lokales Konto nötig, und sie ist nicht direkt aus dem Internet erreichbar. Microsoft hat für die betroffenen Builds Korrekturen veröffentlicht.

Betroffen

• Windows 10 Version 1607 und Windows Server 2016: Builds 10.0.14393.0 bis vor 10.0.14393.9612
• Windows 10 Version 1809 und Windows Server 2019: Builds 10.0.17763.0 bis vor 10.0.17763.9376
• Windows 10 Version 21H2: Builds 10.0.19044.0 bis vor 10.0.19044.7807
• Windows 10 Version 22H2: Builds 10.0.19045.0 bis vor 10.0.19045.7807
• Windows 11 Version 23H2: Builds 10.0.22631.0 bis vor 10.0.22631.7652
• Windows 11 Version 24H2: Builds 10.0.26100.0 bis vor 10.0.26100.9711
• Windows 11 Version 25H2: Builds 10.0.26200.0 bis vor 10.0.26200.9711
• Windows 11 Version 26H1: Builds 10.0.28000.0 bis vor 10.0.28000.3231
• Windows 11 Version 26H2: Builds 10.0.26300.0 bis vor 10.0.26300.9711
• Windows Server 2012 R2 (inklusive Server Core): Builds 6.3.9600.0 bis vor 6.3.9600.23470

Behoben in

• Windows 10 Version 1607 und Windows Server 2016: 10.0.14393.9612
• Windows 10 Version 1809 und Windows Server 2019: 10.0.17763.9376
• Windows 10 Version 21H2: 10.0.19044.7807
• Windows 10 Version 22H2: 10.0.19045.7807
• Windows 11 Version 23H2: 10.0.22631.7652
• Windows 11 Version 24H2: 10.0.26100.9711
• Windows 11 Version 25H2: 10.0.26200.9711
• Windows 11 Version 26H1: 10.0.28000.3231
• Windows 11 Version 26H2: 10.0.26300.9711
• Windows Server 2012 R2: 6.3.9600.23470

KB-Nummern für Windows 10 Version 1607 sind unbekannt.

Umgehung

• Kein Workaround des Herstellers gefunden.
• Übergangsmassnahme (eigene Einschätzung, nicht aus einer Quelle): interaktive lokale Anmeldung einschränken und Standardbenutzerkonten auf betroffenen Systemen begrenzen.

Ausnutzung

• Ausnutzung in freier Wildbahn: nicht bestätigt. CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
• Öffentlich verfügbarer Exploit-Code: keiner gefunden.
• Eine Tenable-Plugin-Seite eines Drittanbieters führt diese CVE mit kritischer Bewertung, Exploit-Verfügbarkeit und einem KEV-Fälligkeitsdatum auf. Diese Werte stimmen nicht mit den Daten von NVD und MSRC überein und sind nicht verifiziert.

Unsere Empfehlung

• Inventarisieren Sie die Windows-Systeme und vergleichen Sie die genauen Builds mit den oben genannten korrigierten Builds.
• Installieren Sie das Sicherheitsupdate vom Oktober 2026 auf betroffenen Systemen, zuerst auf Systemen, die über RDP oder VPN erreichbar sind.
• Prüfen Sie, ob Windows 10 Version 1607 noch Sicherheitsupdates erhält. Können solche Systeme nicht gepatcht werden, ersetzen oder isolieren Sie sie.
• Prüfen Sie den CISA-KEV-Katalog und die Ausnutzbarkeitsangaben von MSRC direkt, statt sich auf Drittanbieterdaten zu verlassen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-85867 msrc.microsoft.com
• Vulners: NVD record CVE-2026-85867 vulners.com
• Vulners: Microsoft advisory MS:CVE-2026-85867 vulners.com
• Strix: CVE-2026-85867 www.strix.ai
• OpenCVE: CVE-2026-85867 app.opencve.io
• Microsoft 2026 CVEs customer risk cohort document cdn-dynmedia-1.microsoft.com
• Tenable plugin 365472 (conflicting data, unverified) www.tenable.com
• CVE.IMFHT intel record 846439 cve.imfht.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 01:54.