Microsoft Windows: Remote Code Execution im Link Layer Topology Discovery

Zusammenfassung

Eine Use-after-Free-Schwachstelle im Link Layer Topology Discovery (LLTD) Protokoll von Windows ermöglicht die Ausführung von Code auf betroffenen Windows-Systemen. Der Angreifer muss sich im selben angrenzenden Netzwerksegment befinden, und die Angriffskomplexität ist hoch. Gemäss CVSS-Vektor sind weder Berechtigungen noch Benutzerinteraktion erforderlich. Zum Zeitpunkt der Erstellung wurde weder eine Ausnutzung gemeldet noch ein öffentlicher Exploit gefunden.

Betroffen

• Windows 10 Version 1607 und Windows Server 2016 (inklusive Server Core): Builds vor 10.0.14393.9688
• Windows 10 Version 1809 und Windows Server 2019 (inklusive Server Core): Builds vor 10.0.17763.9487
• Windows 10 Version 21H2: Builds vor 10.0.19044.7846
• Windows 10 Version 22H2: Builds vor 10.0.19045.7846 (gemäss Drittanbieter-Aggregator, nicht gegen die Herstellerseite verifiziert)
• Windows 11 Version 23H2: Builds vor 10.0.22631.7711 (gemäss CNA-Eintrag, doppelt aufgeführt)
• Windows 11 Version 24H2 und 25H2: Builds vor 10.0.26100.9974 bzw. 10.0.26200.9974
• Windows 11 Version 26H1: Builds vor 10.0.28000.3501
• Windows 11 Version 26H2: Builds vor 10.0.26300.9974
• Windows Server 2022: Builds vor 10.0.20348.5870

Behoben in

Unbekannt. Installieren Sie das Sicherheitsupdate von Microsoft für den betroffenen Build; die korrigierten Builds sind die ersten Builds auf oder über den oben genannten Werten. KB-Artikelnummern wurden nicht bestätigt.

Umgehung

Es ist kein von Microsoft veröffentlichter Workaround bekannt. Als Härtungsmassnahme kann der Dienst Link-Layer Topology Discovery Mapper (lltdsvc) auf Deaktiviert gesetzt werden, wodurch die Funktion Netzwerkzuordnung nicht mehr funktioniert. CIS-Benchmarks geben den Standardwert mit Manuell an.

Ausnutzung

• Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
• Kein Eintrag im CISA-KEV-Katalog in den gefundenen Quellen erwähnt.
• Kein öffentlicher Proof of Concept gefunden.
• CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.

Unsere Empfehlung

• Betroffene Windows-10-, Windows-11- und Windows-Server-Systeme im nächsten regulären Update-Zyklus patchen; betroffene Liste und KB-Nummern im Microsoft Security Update Guide prüfen.
• Prüfen, ob der Dienst lltdsvc läuft, und ihn deaktivieren, wo die Netzwerkzuordnung nicht benötigt wird.
• Gast-WLAN und flache Netzwerke segmentieren, damit nicht vertrauenswürdige Geräte keine internen Systeme im selben Segment erreichen.
• Auf öffentliche Berichte zur Ausnutzung achten und die Priorität erhöhen, falls eine Ausnutzung gemeldet wird.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-88244 msrc.microsoft.com
• CVE Record: CVE-2026-88244 www.cve.org
• VulDB: CVE-2026-88244 vuldb.com
• Strix: CVE-2026-88244 www.strix.ai
• Wikipedia: Link Layer Topology Discovery en.wikipedia.org
• Tenable CIS audit item: Windows 7 Level 2 (lltdsvc) www.tenable.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 05:06.