Microsoft Windows BITS: Use-after-free ermöglicht Remote Code Execution

Zusammenfassung

Ein Use-after-free-Fehler im Windows Background Intelligent Transfer Service (BITS) erlaubt einem nicht autorisierten Angreifer, über das Netzwerk Code auszuführen. Der Angriff benötigt keine Berechtigungen und keine Benutzerinteraktion, ist aber technisch komplex. BITS ist eine Komponente für Hintergrund-Dateiübertragungen, die von Windows Update und anderer Software genutzt wird, weshalb betroffene Systeme prioritär behandelt werden sollten.

Betroffen

• Windows 10 Version 1607 (vor 10.0.14393.9612)
• Windows 10 Version 1809 (vor 10.0.17763.9376)
• Windows Server 2012 und Server Core (vor 6.2.9200.26434)
• Windows Server 2012 R2 und Server Core (vor 6.3.9600.23470)
• Windows Server 2016 und Server Core (vor 10.0.14393.9612)
• Windows Server 2019 und Server Core (vor 10.0.17763.9376)
• Windows Server 2022 (vor 10.0.20348.5761)
• Windows Server 2025 und Server Core (vor 10.0.26100.33650)

Behoben in

• Das Sicherheitsupdate vom Oktober 2026 für jedes betroffene Produkt installieren, das die oben genannten oder höhere Builds bereitstellt.
• KB-Nummern: Unbekannt. Das genaue Update im MSRC-Advisory prüfen.

Umgehung

Unbekannt. In den Quellen wurde kein vom Hersteller dokumentierter Workaround gefunden.

Ausnutzung

Gemäss der CISA-SSVC-Bewertung ist Exploitation none und Automatable no. In den Quellen wurde kein öffentlicher Proof of Concept und keine Ausnutzung in freier Wildbahn gefunden.

Unsere Empfehlung

• Alle Windows-10-1607- und 1809-Hosts sowie Windows-Server-2012- bis 2025-Hosts inventarisieren, einschliesslich Server-Core-Installationen.
• Die kumulativen Updates vom Oktober 2026 über Windows Update oder WSUS installieren und die Build-Nummern mit dem MSRC-Advisory abgleichen.
• Hosts mit Netzwerkexposition und nicht mehr unterstützten Betriebssystemversionen priorisieren, etwa Windows Server 2012 ohne Extended Security Updates.
• Eingehenden und ausgehenden Netzwerkzugriff auf betroffene Hosts soweit möglich einschränken.
• Auf ungewöhnliche BITS-Aktivitäten achten und neue Informationen zu öffentlichen Exploits verfolgen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-88173 msrc.microsoft.com
• Vulners CVELIST: CVE-2026-88173 vulners.com
• Vulners MSCVE: MS:CVE-2026-88173 vulners.com
• Vulners VulnRichment: CVE-2026-88173 vulners.com
• Strix: CVE-2026-88173 www.strix.ai
• OpenCVE: CVE-2026-88173 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 19:15.