Windows BITS: Remote Code Execution durch Use-after-free

Zusammenfassung

Der Windows Background Intelligent Transfer Service (BITS) enthält eine Use-after-free-Schwachstelle, die Codeausführung über das Netzwerk erlaubt. Gemäss CNA-Eintrag kann ein nicht autorisierter Angreifer Code ausführen, während der CVSS-Vektor niedrige Privilegien voraussetzt; der CWE ist noch offen (CWE-122 in der Anfrage, CWE-416 Use-after-free in der CNA-Beschreibung). Zahlreiche Windows-10-, Windows-11- und Windows-Server-Versionen sind betroffen, darunter Windows 10 1607 und Windows Server 2016. Eine Ausnutzung oder ein öffentlicher Proof of Concept ist nicht bekannt.

Betroffen

• Windows 10 Version 1607: 10.0.14393.0 bis vor 10.0.14393.9612
• Windows 10 Version 1809: 10.0.17763.0 bis vor 10.0.17763.9376
• Windows 10 Version 21H2: 10.0.19044.0 bis vor 10.0.19044.7807
• Windows 10 Version 22H2: 10.0.19045.0 bis vor 10.0.19045.7807
• Windows 11 Version 23H2: 10.0.22631.0 bis vor 10.0.22631.7652
• Windows 11 Version 24H2: 10.0.26100.0 bis vor 10.0.26100.9711
• Windows 11 Version 25H2: 10.0.26200.0 bis vor 10.0.26200.9711
• Windows 11 Version 26H1: 10.0.28000.0 bis vor 10.0.28000.3231
• Windows 11 Version 26H2: 10.0.26300.0 bis vor 10.0.26300.9711
• Windows Server 2012 (inklusive Server Core): 6.2.9200.0 bis vor 6.2.9200.26434
• Windows Server 2012 R2 (inklusive Server Core): 6.3.9600.0 bis vor 6.3.9600.23470
• Windows Server 2016: 10.0.14393.0 bis vor 10.0.14393.9612

Behoben in

• Korrigierte Builds gemäss CNA-Eintrag: erster Build ausserhalb des jeweils betroffenen Bereichs, wie oben aufgeführt.
• Windows 10 1607 und Windows Server 2016: Build 14393.9612 (Oktober-2026-Update, KB5126868; von der Release-Health-Seite, nicht auf MSRC verifiziert).
• Windows 10 Enterprise LTSB 2016 (1607) erhält seit dem 13. Oktober 2026 keine Updates mehr. Eine Abdeckung ist nur mit Registrierung für ESU möglich; ob diese CVE von ESU abgedeckt ist, ist unbestätigt.

Umgehung

• Kein Workaround des Herstellers gefunden.
• Nicht mehr unterstützte 1607-Geräte von nicht vertrauenswürdigen Netzwerken isolieren.
• Wo der Geschäftsbetrieb es erlaubt, BITS auf betroffenen Systemen einschränken oder deaktivieren. Vorgängig testen; dies ist keine Herstellerempfehlung.

Ausnutzung

• Keine Ausnutzung in freier Wildbahn bekannt.
• Kein öffentlicher Proof of Concept gefunden.
• CISA SSVC: Exploitation none, nicht automatisierbar, totale technische Auswirkung.
• EPSS unter 1 Prozent (Sekundärquelle).

Unsere Empfehlung

• Alle Windows-10-1607- sowie Windows-Server-2012-, 2012-R2- und 2016-Systeme inventarisieren, insbesondere fest installierte Geräte.
• Auf unterstützten Systemen das Oktober-2026-Update als geplantes Patch installieren.
• Für 1607-LTSB-Geräte: falls berechtigt für ESU registrieren; andernfalls isolieren und die Migration auf Windows 11 Enterprise LTSC 2024 planen.
• Ereignisprotokolle und EDR auf anomale BITS-Aktivitäten überwachen.
• Korrigierte Builds und den endgültigen CWE auf der MSRC-Seite und in NVD prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-88142 msrc.microsoft.com
• Microsoft release health: Windows 10 1607 and Windows Server 2016 learn.microsoft.com
• 4sysops: Windows 10 Enterprise LTSB 2016 end of support and ESU 4sysops.com
• OpenCVE: CVE-2026-88142 app.opencve.io
• Vulners: CVELIST CVE-2026-88142 vulners.com
• Strix: CVE-2026-88142 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 18:11.