Microsoft Windows Message Queuing: Use-after-free ermöglicht lokale Codeausführung

Zusammenfassung

Eine Use-after-free-Schwachstelle (CWE-416) in der Queue-Manager-Komponente von Windows Message Queuing (MSMQ) ermöglicht einem berechtigten lokalen Angreifer die Ausführung von Code. Der CVSS-3.1-Basiswert beträgt 7.8 (Hoch) mit lokalem Angriffsvektor, niedrigen erforderlichen Rechten und ohne Benutzerinteraktion. Ein Angreifer benötigt ein bestehendes Konto mit niedrigen Rechten oder einen Zugang zum System, daher besteht das Hauptrisiko in einer Rechteerweiterung und vollständigen Kompromittierung nach einem initialen Eindringen. Der CVE-Titel nennt Remote Code Execution, die Beschreibung und der CVSS-Vektor beschreiben jedoch nur eine lokale Ausnutzung.

Betroffen

• Windows 10 Version 1607 (unter 10.0.14393.9612)
• Windows 10 Version 1809 (unter 10.0.17763.9376)
• Windows 10 Version 21H2 (unter 10.0.19044.7807)
• Windows 10 Version 22H2 (unter 10.0.19045.7807)
• Windows 11 Version 23H2 (unter 10.0.22631.7652)
• Windows 11 Version 24H2 und 25H2 (unter 10.0.26100.9711 und 10.0.26200.9711)
• Windows 11 Version 26H1 (unter 10.0.28000.3231)
• Windows 11 Version 26H2 (unter 10.0.26300.9711)
• Windows Server 2012 und 2012 R2 (unter 6.2.9200.26434 und 6.3.9600.23470)
• Windows Server 2016 (unter 10.0.14393.9612)

Hinweis: Die CPE-Daten im CVE-Eintrag nennen Windows 10 1607, und Drittquellen weichen bei einzelnen Builds ab. Die Produkttabelle im MSRC-Advisory ist zu überprüfen.

Behoben in

• Die Sicherheitsupdates vom Oktober 2026 für die jeweilige Windows-Version installieren. Die korrigierten Builds sind die Obergrenzen, die unter Affected aufgeführt sind.
• Windows 10 1607 und Server 2016: 10.0.14393.9612 (auf MSRC zu verifizieren; keine KB-Nummer bestätigt).
• Windows Server 2012 und 2012 R2 sind als betroffen aufgeführt; der korrigierte Build ist auf MSRC zu verifizieren.

Umgehung

• Der CVE-Eintrag nennt keine Gegenmassnahme.
• Falls MSMQ nicht benötigt wird, das Feature Message Queuing deaktivieren oder entfernen, um die Angriffsfläche zu verringern. Geschäftskritische Anwendungen vorher testen.

Ausnutzung

• Nicht in der CISA-KEV-Liste aufgeführt.
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
• EPSS-Wert: 0.00318.
• In der Recherche wurde kein öffentlicher Proof of Concept gefunden. Dies beweist nicht, dass keiner existiert.

Unsere Empfehlung

• Betroffene Systeme mit den kumulativen Updates vom Oktober 2026 patchen, zuerst Mehrbenutzersysteme wie Terminalserver, Dateiserver und gemeinsam genutzte Arbeitsstationen.
• Die genauen korrigierten Builds und KB-Nummern auf der MSRC-Seite bestätigen, insbesondere für Windows 10 1607, für das keine KB-Nummer bestätigt ist.
• Prüfen, ob MSMQ installiert ist, und es dort deaktivieren, wo es nicht benötigt wird.
• Windows 10 Enterprise LTSB 2016 (1607) erreicht laut Berichten am 13. Oktober 2026 das Support-Ende (nicht verifiziert). Ein Upgrade planen.
• Auf verdächtige lokale Rechteerweiterungen achten und diese überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-85874 msrc.microsoft.com
• OpenCVE: CVE-2026-85874 app.opencve.io
• Vulners NVD mirror: CVE-2026-85874 vulners.com
• Vulners VulnCheck/CISA SSVC data: CVE-2026-85874 vulners.com
• Strix: CVE-2026-85874 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 01:52.