Microsoft Windows eSCL Scanner: Use after free ermöglicht Remote Code Execution

Zusammenfassung

Eine Use-after-free-Schwachstelle in der Windows-eSCL-Scanner-Komponente erlaubt einem nicht authentifizierten Angreifer, über das Netzwerk Code auszuführen. eSCL ist das in Windows 10 und 11 integrierte Protokoll für treiberloses Netzwerkscannen. Die Angriffskomplexität ist hoch, und es sind weder Benutzerinteraktion noch besondere Berechtigungen erforderlich.

Betroffen

• Windows 10 Version 21H2: Builds 10.0.19044.0 bis vor 10.0.19044.7846
• Windows 10 Version 22H2: Builds 10.0.19045.0 bis vor 10.0.19045.7846
• Windows 11 Version 23H2: Builds 10.0.22631.0 bis vor 10.0.22631.7711
• Windows 11 Version 24H2: Builds 10.0.26100.0 bis vor 10.0.26100.9974 (im CVE-Eintrag aufgeführt; nicht aus einer primären Quelle bestätigt)
• Windows 11 Version 25H2: Builds 10.0.26200.0 bis vor 10.0.26200.9974 (im CVE-Eintrag aufgeführt; nicht aus einer primären Quelle bestätigt)
• Windows 11 Version 26H1: Builds 10.0.28000.0 bis vor 10.0.28000.3501 (im CVE-Eintrag aufgeführt; nicht aus einer primären Quelle bestätigt)
• Windows 11 Version 26H2: Builds 10.0.26300.0 bis vor 10.0.26300.9974 (im CVE-Eintrag aufgeführt; nicht aus einer primären Quelle bestätigt)
• Windows Server 2022: Builds 10.0.20348.0 bis vor 10.0.20348.5870 (im CVE-Eintrag aufgeführt; nicht aus einer primären Quelle bestätigt)
• Windows Server 2025 (inklusive Server Core): Builds 10.0.26100.0 bis vor 10.0.26100.33822 (im CVE-Eintrag aufgeführt; nicht aus einer primären Quelle bestätigt)

Behoben in

• Windows 10 Version 21H2: 10.0.19044.7846 oder neuer
• Windows 10 Version 22H2: 10.0.19045.7846 oder neuer
• Windows 11 Version 23H2: 10.0.22631.7711 oder neuer
• Windows 11 Version 24H2, 25H2, 26H1, 26H2, Server 2022 und Server 2025: siehe die oben aufgeführten Builds, zu verifizieren im MSRC-Advisory
• Die Verfügbarkeit des Fixes für den Build von 24H2 ist nicht aus einer primären Quelle bestätigt.

Umgehung

Unbekannt. In den Quellen wurde kein Workaround des Herstellers gefunden. Das Einspielen des Patches ist die verfügbare Lösung.

Ausnutzung

• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
• Kein öffentlicher Proof of Concept gefunden.
• EPSS-Wert nicht verfügbar.
• Das Exploited-Kennzeichen von Microsoft ist in den Quellen nicht ersichtlich.

Unsere Empfehlung

• Die betroffenen Builds und Fixes im MSRC-Advisory prüfen, bevor der Rollout beginnt.
• Alle Windows-10-, Windows-11- und Windows-Server-Systeme mit aktiviertem Netzwerkscannen identifizieren.
• Prüfen, ob Windows-10-Geräte der Versionen 21H2 und 22H2 noch über einen Supportplan abgedeckt sind.
• Das Update vom November 2026 zuerst testen, da unter Windows 10 21H2 ein bekanntes Problem bei einigen USB-Audio-Class-1.0-Geräten besteht.
• Im nächsten Patch-Zyklus einspielen und bis dahin betroffene Hosts von nicht vertrauenswürdigen Netzwerksegmenten fernhalten sowie eingehenden Verkehr auf das Scanner-Subnetz beschränken.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-95956 msrc.microsoft.com
• CVE Record CVE-2026-95956 (Microsoft CNA) www.cve.org
• Strix AI: CVE-2026-95956 (unverified secondary source) www.strix.ai
• SenServa KB 5131096 (exploitation status and known issue) senserva.com
• Zero Day Initiative: November 2026 Security Update Review www.zerodayinitiative.com
• PrinterArchive: eSCL protocol overview printerarchive.net

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 01:32.