Microsoft Windows BITS: Remote Code Execution durch Use-after-free

Zusammenfassung

Eine Use-after-free-Schwachstelle im Windows Background Intelligent Transfer Service (BITS) erlaubt einem Angreifer, über das Netzwerk Code auszuführen. Gemäss CVE-Beschreibung muss der Angreifer nicht authentifiziert sein. Der Angriffsvektor und die Berechtigungsanforderungen im gelieferten CVSS-Vektor weichen von der Bewertung des Herstellers ab, daher muss der Score vor einer Priorisierung überprüft werden. Microsoft hat korrigierte Builds für mehrere Windows-10-, Windows-11- und Windows-Server-Versionen veröffentlicht. Eine Ausnutzung ist nicht bekannt: Die CVE ist nicht im CISA-KEV-Katalog aufgeführt und bei unseren Prüfungen wurde kein öffentlicher Proof of Concept gefunden.

Betroffen

• Windows 10 Version 1607: Builds unterhalb von 10.0.14393.9612
• Windows 10 Version 1809: Builds unterhalb von 10.0.17763.9376
• Windows 10 Version 21H2: Builds unterhalb von 10.0.19044.7807
• Windows 10 Version 22H2: Builds unterhalb von 10.0.19045.7807
• Windows 11 Version 23H2: Builds unterhalb von 10.0.22631.7652
• Windows 11 Version 24H2: Builds unterhalb von 10.0.26100.9711
• Windows 11 Version 25H2: Builds unterhalb von 10.0.26200.9711
• Windows 11 Version 26H1: Builds unterhalb von 10.0.28000.3231
• Windows 11 Version 26H2: Builds unterhalb von 10.0.26300.9711
• Windows Server 2012 und 2012 R2 (inklusive Server Core): Builds unterhalb von 6.2.9200.26434 bzw. 6.3.9600.23470
• Windows Server 2016: Builds unterhalb von 10.0.14393.9612

Behoben in

• Die korrigierten Builds sind im Abschnitt Betroffen als erster Build ausserhalb des verwundbaren Bereichs aufgeführt.
• Windows 10 Version 1607: 10.0.14393.9612 (gemäss Herstellerreferenz)
• Installieren Sie das neueste kumulative Update für Ihre Version. KB-Nummern: Unbekannt.

Umgehung

Unbekannt.

Ausnutzung

• Nicht im CISA-KEV-Katalog aufgeführt.
• CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar, technische Auswirkung total.
• Bei unseren Recherchen wurde kein öffentlicher Proof of Concept gefunden; dies schliesst nicht aus, dass einer existiert.

Unsere Empfehlung

• Erfassen Sie alle Windows-Hosts, insbesondere Server und Geräte mit Windows 10 Version 1607, und prüfen Sie deren Build-Nummern gegen die obige Tabelle.
• Installieren Sie das Sicherheitsupdate von Microsoft im nächsten regulären Patch-Zyklus und priorisieren Sie Systeme mit Internetzugang oder sensiblen Daten.
• Überprüfen Sie den CVSS-Vektor und die betroffenen Builds im Microsoft Security Update Guide, bevor Sie die Risikobewertung festlegen.
• Prüfen Sie die Lifecycle-Seiten von Microsoft, um sicherzustellen, dass alle Geräte weiterhin Sicherheitsupdates erhalten.
• Beobachten Sie den CISA-KEV-Katalog; erhöhen Sie die Priorität, falls eine Ausnutzung gemeldet wird.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-88121 msrc.microsoft.com
• CNA record mirror (affected builds) vulners.com
• OpenCVE record (CVSS, CPE, KEV, SSVC) app.opencve.io
• Mirror with KB cross-references vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 18:12.