Windows DHCP Server: Remote Code Execution durch Race Condition

Zusammenfassung

Die Rolle DHCP Server in Windows Server 2016, 2019, 2022 und 2025 enthält eine Time-of-Check-Time-of-Use-Race-Condition (CWE-367) und einen Heap-basierten Pufferüberlauf (CWE-122). Gemäss CVSS-Vektor (7.5, hohe Angriffskomplexität, niedrige Berechtigungen) kann ein berechtigter Angreifer im Netzwerk möglicherweise Code auf dem Server ausführen. Microsoft stuft die Exploit-Reife zum Zeitpunkt der Veröffentlichung als Unproven ein.

Betroffen

• Windows Server 2016 und 2016 (Server Core Installation): 10.0.14393.0 bis vor 10.0.14393.9688
• Windows Server 2019 und 2019 (Server Core Installation): 10.0.17763.0 bis vor 10.0.17763.9487
• Windows Server 2022: 10.0.20348.0 bis vor 10.0.20348.5870
• Windows Server 2025 und 2025 (Server Core Installation): 10.0.26100.0 bis vor 10.0.26100.33822

Behoben in

• Windows Server 2016 (inkl. Server Core): Build 10.0.14393.9688 oder neuer
• Windows Server 2019 (inkl. Server Core): Build 10.0.17763.9487 oder neuer
• Windows Server 2022: Build 10.0.20348.5870 oder neuer
• Windows Server 2025 (inkl. Server Core): Build 10.0.26100.33822 oder neuer
• KB-Nummer: Unbekannt.

Umgehung

Unbekannt. In den geprüften Quellen wurde kein Workaround von Microsoft gefunden.

Ausnutzung

• Microsoft stuft die Exploit-Reife als Unproven (E:U) ein, d. h. zum Zeitpunkt der Veröffentlichung ist kein Exploit-Code bekannt.
• CISA SSVC: Exploitation none, nicht automatisierbar, totale technische Auswirkung.
• Kein öffentlicher Proof of Concept gefunden. Aktive Ausnutzung: Unbekannt.

Unsere Empfehlung

• Das Sicherheitsupdate vom November 2026 auf allen betroffenen Windows DHCP Servern installieren; zuerst Server priorisieren, die mehrere Netzsegmente bedienen.
• Bis zur Installation den Zugriff auf DHCP (UDP 67/68) mit Netzsegmentierung und Firewall-Regeln auf berechtigte Netze beschränken.
• DHCP Server nicht aus dem Internet erreichbar machen.
• DHCP Server auf Abstürze, unbekannte Prozesse und Konfigurationsänderungen überwachen.
• Produktliste und Fixes im MSRC-Advisory prüfen, bevor der Rollout erfolgt.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Response Center: CVE-2026-88216 msrc.microsoft.com
• CVE Record CVE-2026-88216 (CVE Program) www.cve.org
• Strix: CVE-2026-88216 (third-party) www.strix.ai
• Rapid7: Patch Tuesday November 2026 www.rapid7.com
• PT-2026-112085 (related DHCP issue) vulners.com
• BDU:2026-16536 (related DHCP issue) vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 05:07.