Microsoft Windows SSTP: Use-after-free führt zu Remote Code Execution

Zusammenfassung

Ein Use-after-free-Fehler (CWE-416) im Secure Socket Tunneling Protocol (SSTP) von Windows erlaubt einem nicht authentifizierten Angreifer aus dem Netzwerk, Code auszuführen. Die Angriffskomplexität wird als hoch eingestuft, und es ist keine Benutzerinteraktion nötig. Betroffen sind nur Systeme, die einen SSTP-Listener betreiben, typischerweise ein Windows-Server als RRAS-VPN-Endpunkt.

Betroffen

• Windows 10 Version 1607 (unterhalb 10.0.14393.9612)
• Windows 10 Version 1809 (unterhalb 10.0.17763.9376)
• Windows 10 Version 21H2 (unterhalb 10.0.19044.7807)
• Windows 10 Version 22H2 (unterhalb 10.0.19045.7807)
• Windows 11 Version 23H2 (unterhalb 10.0.22631.7652)
• Windows 11 Version 24H2 (unterhalb 10.0.26100.9711)
• Windows 11 Version 25H2 (unterhalb 10.0.26200.9711)
• Windows 11 Version 26H1 (unterhalb 10.0.28000.3231)
• Windows 11 Version 26H2 (unterhalb 10.0.26300.9711)
• Windows Server 2012, inklusive Server Core (unterhalb 6.2.9200.26434)
• Windows Server 2012 R2, inklusive Server Core (unterhalb 6.3.9600.23470)
• Windows Server 2016 (unterhalb 10.0.14393.9612)

Behoben in

• Das Sicherheitsupdate vom Oktober 2026 für jede betroffene Version installieren, mit Build-Nummern gleich oder höher als oben angegeben.
• Die KB-Nummer für Windows 10 1607 und Server 2016 ist in diesen Quellen nicht bestätigt. Sie ist dem MSRC-Advisory zu entnehmen.

Umgehung

Unbekannt. In den Quellen wurde keine vom Hersteller bereitgestellte Massnahme gefunden.

• Drittanbieter empfehlen, SSTP als Tunneloption auf RRAS zu deaktivieren. Dies ist vom Hersteller nicht bestätigt und würde VPN-Clients unterbrechen, die auf SSTP angewiesen sind.

Ausnutzung

• In den Quellen wurde keine bestätigte Ausnutzung in freier Wildbahn gefunden.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Es wurde kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Windows-Systeme mit SSTP-/RRAS-Rolle inventarisieren und deren Build-Nummern prüfen.
• Prüfen, ob Windows 10 1607 und Server 2016 noch Sicherheitsupdates erhalten. Falls nicht, Upgrade planen oder SSTP ablösen.
• Das kumulative Update vom Oktober 2026 auf allen betroffenen Systemen installieren, mit den KB-Nummern aus dem MSRC-Advisory.
• Falls das Patchen verzögert wird, SSTP-Zugriffe an der Firewall einschränken, nachdem die Auswirkungen auf VPN-Benutzer getestet wurden.
• Exponierte SSTP-VPN-Endpunkte mit hoher Priorität behandeln.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-85926 msrc.microsoft.com
• SentinelOne Vulnerability Database: CVE-2026-85926 www.sentinelone.com
• Vulners NVD record: CVE-2026-85926 vulners.com
• Vulners CVElist record: CVE-2026-85926 vulners.com
• VulDB: CVE-2026-85926 vuldb.com
• OpenCVE: CVE-2026-85926 app.opencve.io
• Strix: CVE-2026-85926 www.strix.ai
• Vulners PT-2026-87918 (related SSTP RCE context) vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 19:21.