Microsoft Windows WebDAV: Remote Code Execution in Web Distributed Authoring and Versioning

Zusammenfassung

Eine Schwachstelle in der Windows-WebDAV-Komponente (unzureichende Auflösung von Pfadäquivalenz, CWE-41) erlaubt einem authentifizierten Angreifer mit Netzwerkzugriff, Code aus der Ferne auszuführen. Der Angreifer benötigt ein gültiges Konto mit niedrigen Rechten, eine Benutzerinteraktion ist nicht erforderlich. Microsoft bewertet die Schwachstelle mit CVSS 8.8 (hoch); das Risiko ist am grössten bei Servern und Dateifreigaben mit WebDAV, die aus dem Internet oder von Zweigstellen erreichbar sind.

Betroffen

• Windows 10 Version 1607 (Builds unter 10.0.14393.9612)
• Windows 10 Version 1809 (Builds unter 10.0.17763.9376)
• Windows 10 Version 21H2 (Builds unter 10.0.19044.7807)
• Windows 10 Version 22H2 (Builds unter 10.0.19045.7807)
• Windows 11 Version 23H2 (Builds unter 10.0.22631.7652)
• Windows 11 Version 24H2 (Builds unter 10.0.26100.9711)
• Windows 11 Version 25H2 (Builds unter 10.0.26200.9711)
• Windows 11 Version 26H1 (Builds unter 10.0.28000.3231)
• Windows 11 Version 26H2 (Builds unter 10.0.26300.9711)
• Windows Server 2012 und 2012 R2 (Builds unter 6.2.9200.26434 bzw. 6.3.9600.23470)
• Windows Server 2016 (Builds unter 10.0.14393.9612)
• Windows Server 2019, 2022 und 2025 (gemäss Herstellerangaben; genaue Builds nicht bestätigt)

Behoben in

• Sicherheitsupdate veröffentlicht am 13. Oktober 2026 (gemäss Microsoft)
• Benannte Pakete aus Drittquellen: KB5126646 (Windows Server 2025) und KB5126651 (Windows 10 1809 / Server 2019); nicht gegen MSRC geprüft
• Genauer korrigierter Build pro Edition: MSRC-Tabelle prüfen, da die verfügbaren Daten widersprüchlich sind

Umgehung

• WebDAV-Funktion deaktivieren, sofern sie nicht benötigt wird
• WebDAV-Datenverkehr an der Firewall oder am Reverse Proxy aus dem Internet blockieren oder auf vertrauenswürdige Netzwerke und authentifizierte Benutzer beschränken
• Nicht durch das Microsoft-Advisory bestätigt; Patchen bleibt die primäre Massnahme

Ausnutzung

• Microsoft-Temporalvektor: Reifegrad des Exploit-Codes Unproven (E:U), Vertrauenswürdigkeit des Berichts Confirmed (RC:C)
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total
• VulDB: kein Exploit verfügbar; der genannte Marktpreis von USD 5k-25k ist eine Schätzung von Brokern und kein Beleg für Ausnutzung
• Nicht in CISA KEV gelistet; EPSS unter 1%
• Bei den durchgeführten Recherchen wurde kein öffentlicher Proof-of-Concept gefunden; dies schliesst einen solchen nicht aus
• Keine bekannte Ausnutzung in freier Wildbahn in den geprüften Quellen

Unsere Empfehlung

• Betroffene Windows-10-, Windows-11- und Serversysteme im Oktober-2026-Updatezyklus patchen; korrigierten Build pro Edition auf der MSRC-Seite prüfen
• Systeme identifizieren, auf denen der WebDAV-Client oder IIS WebDAV aktiv ist
• WebDAV deaktivieren, wo es nicht benötigt wird
• Wo WebDAV benötigt wird, aus dem Internet blockieren und den Zugriff auf vertrauenswürdige Netzwerke beschränken
• Konten auf schwache oder mehrfach verwendete Passwörter prüfen und Multi-Faktor-Authentifizierung aktivieren
• WebDAV-Protokolle überwachen und Exploit-Quellen auf neue öffentliche Proof-of-Concept-Codes prüfen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-88136 msrc.microsoft.com
• Vulners: MS:CVE-2026-88136 (NVD mirror, fixed builds) vulners.com
• OpenCVE: CVE-2026-88136 app.opencve.io
• VulDB: CVE-2026-88136 vuldb.com
• Vulners VulnRichment: CVE-2026-88136 (CISA SSVC) vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 18:10.