Microsoft .NET: Remote Code Execution durch Deserialisierung nicht vertrauenswürdiger Daten

Zusammenfassung

Eine Schwachstelle bei der Deserialisierung in der Microsoft .NET Runtime (einschliesslich des WPF-Desktop-Frameworks) sowie in Visual Studio 2022 und 2026 ermöglicht die Ausführung von Code auf dem betroffenen System über das Netzwerk. Laut Microsoft ist der verwundbare Pfad WPF XPS Synthetic Hyperlinks; ein Angreifer benötigt, dass ein Benutzer ein präpariertes XPS-Dokument öffnet und einen Link aktiviert. Microsoft stuft die Ausnutzung als weniger wahrscheinlich ein, und die Schwachstelle wurde nicht öffentlich bekannt gemacht.

Betroffen

• Microsoft .NET 8.0: 8.0.0 bis vor 8.0.32
• Microsoft .NET 9.0: 9.0.0 bis vor 9.0.21
• Microsoft .NET 10.0: 10.0.0 bis vor 10.0.13
• Microsoft .NET 11.0 Previews: 11.0.0 bis vor 11.0.0-rc.2
• Microsoft Visual Studio 2022 Version 17.14: vor 17.14.42
• Microsoft Visual Studio 2026 Version 18.10: vor 18.10.4
• .NET 6 (nicht mehr unterstützt): von einem Drittanbieter als betroffen gemeldet, von Microsoft nicht bewertet (unbestätigt)

Behoben in

• .NET 8.0.32 Runtime oder .NET 8.0.426 SDK
• .NET 9.0.21 Runtime oder .NET 9.0.319 SDK
• .NET 10.0.13 Runtime oder .NET 10.0.402 SDK
• .NET 11.0.0-rc.2
• Visual Studio 2022 17.14.42
• Visual Studio 2026 18.10.4
• Ob .NET Framework betroffen ist, ist unbestätigt; das kumulative Update KB5127694 vom 13. Oktober 2026 listet diese CVE.

Umgehung

Keine Workaround-Massnahme ohne Patch dokumentiert. Unbekannt.

Ausnutzung

• Öffentlich bekannt gemacht: Nein
• In freier Wildbahn ausgenutzt: Nein
• Einschätzung der Ausnutzbarkeit durch Microsoft: Exploitation Less Likely
• CISA SSVC: Ausnutzung keine, automatisierbar nein
• Nicht im CISA-KEV-Katalog aufgeführt
• Kein öffentlicher Proof of Concept gefunden
• EPSS 0.00843 (niedrig)

Unsere Empfehlung

• Die Runtimes und SDKs von .NET 8, 9 und 10 auf die oben genannten Versionen aktualisieren.
• Visual Studio 2022 und 2026 auf die korrigierten Builds aktualisieren; Visual Studio aktualisiert dabei auch installierte .NET SDKs.
• Entwickler-Arbeitsplätze und Rechner mit WPF-Anwendungen priorisieren, die XPS-Dateien oder E-Mail-Anhänge öffnen.
• Installationen von .NET 6 identifizieren, die nicht mehr unterstützt und von Microsoft nicht gepatcht werden, und deren Migration planen oder einen Fix für erweiterten Support beschaffen.
• Betroffene Versionen und die Anwendbarkeit auf .NET Framework vor dem Rollout auf der MSRC-Seite überprüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Response Center: CVE-2026-87697 msrc.microsoft.com
• GitHub Advisory GHSA-c27m-942f-rcfh github.com
• Microsoft .NET announcement issue 471 github.com
• HeroDevs vulnerability directory: CVE-2026-87697 www.herodevs.com
• OpenCVE: CVE-2026-87697 app.opencve.io
• Vulners MEND:CVE-2026-87697 (EPSS) vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 18:15.