Microsoft QUIC: NULL-Zeiger-Dereferenzierung führt zu Denial of Service

Zusammenfassung

Eine NULL-Zeiger-Dereferenzierung in Microsoft QUIC, der QUIC-Transportimplementierung in Windows, erlaubt einem nicht authentifizierten Angreifer aus dem Netzwerk, den betroffenen Dienst zum Absturz zu bringen und einen Denial of Service auszulösen. Der Angriff benötigt nur Netzwerkzugriff auf einen QUIC-fähigen Dienst und keine Benutzerinteraktion. Der CVSS-Vektor zeigt keine Auswirkungen auf Vertraulichkeit oder Integrität, das Risiko liegt somit in der Verfügbarkeit, vor allem bei aus dem Internet erreichbaren Windows-Servern.

Betroffen

• Windows 11 Version 23H2: 10.0.22631.0 bis unter 10.0.22631.7711
• Windows 11 Version 24H2: 10.0.26100.0 bis unter 10.0.26100.9974
• Windows 11 Version 25H2: 10.0.26200.0 bis unter 10.0.26200.9974
• Windows 11 Version 26H1: 10.0.28000.0 bis unter 10.0.28000.3501
• Windows 11 Version 26H2: 10.0.26300.0 bis unter 10.0.26300.9974
• Windows Server 2022: 10.0.20348.0 bis unter 10.0.20348.5870
• Windows Server 2025 (inklusive Server Core): 10.0.26100.0 bis unter 10.0.26100.33822
• Windows 10, Windows Server 2016 und 2019: Unbekannt.

Behoben in

• Das kumulative Sicherheitsupdate installieren, das am 10. November 2026 (November 2026 Patch Tuesday) veröffentlicht wurde.
• Behobene Builds: siehe die Liste der betroffenen Versionen oben. Den genauen Build und die KB-Nummer je Produkt im MSRC-Advisory prüfen.
• KB5132061 wird für Windows 11 von einer Drittquelle genannt, nicht von MSRC bestätigt. Unverifiziert.

Umgehung

Unbekannt. Es wurde keine vom Hersteller dokumentierte Workaround gefunden. Das Einspielen von Patches ist der vorgesehene Weg.

Ausnutzung

• Keine Hinweise auf eine Ausnutzung in freier Wildbahn für CVE-2026-88236 gefunden.
• CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung teilweise.
• CVSS-Temporalvektor E:U (Ausnutzungsreife unbewiesen).
• Kein öffentlicher Proof of Concept gefunden.
• Die einzige im November-2026-Release genannte aktiv ausgenutzte Schwachstelle ist CVE-2026-124194 (Outlook-Spoofing), nicht diese CVE.

Unsere Empfehlung

• Patches zuerst auf aus dem Internet erreichbare Windows-Server und Server mit QUIC-basierten Diensten (zum Beispiel HTTP/3 oder SMB over QUIC) anwenden.
• Das kumulative Update vom November 2026 im normalen Patch-Zyklus auf Windows-11-Clients einspielen.
• Prüfen, welche Systeme QUIC-fähige Dienste betreiben und ob diese aus dem Internet erreichbar sind.
• Den genauen Build je Produkt vor dem Rollout im MSRC-Advisory verifizieren.
• Nicht mit CVE-2026-105016 verwechseln, einer separaten QUIC-Schwachstelle mit Remote Code Execution. Auch diese ist zu patchen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE Record CVE-2026-88236 www.cve.org
• Microsoft Security Update Guide CVE-2026-88236 msrc.microsoft.com
• strix.ai CVE-2026-88236 (third-party mirror) www.strix.ai
• NTCompatible: November 2026 Patch Tuesday www.ntcompatible.com
• BigGo: November 2026 Windows update report finance.biggo.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 05:07.