Windows DNS Server: Heap-basierter Pufferüberlauf führt zu Remote Code Execution
Zusammenfassung
Ein heap-basierter Pufferüberlauf im Windows Domain Name Service (Rolle DNS Server) erlaubt einem autorisierten Angreifer aus dem Netzwerk, Code auszuführen. Der Angreifer benötigt gültigen Zugriff mit niedrigen Berechtigungen auf das Netzwerk und den DNS-Dienst; der CVSS-Basiswert beträgt 8.8 (hoch). Läuft die DNS-Rolle auf einem Domänencontroller, könnte die Codeausführung auch die Authentifizierung und die Verzeichnisdienste betreffen.
Betroffen
- Windows Server 2016 und Windows Server 2016 (Server Core): Builds 10.0.14393.0 bis unter 10.0.14393.9688
- Windows Server 2019 und Windows Server 2019 (Server Core): Builds 10.0.17763.0 bis unter 10.0.17763.9487
- Windows Server 2022: Builds 10.0.20348.0 bis unter 10.0.20348.5870
- Windows Server 2025 und Windows Server 2025 (Server Core): Builds 10.0.26100.0 bis unter 10.0.26100.33822
Behoben in
- Korrigierte Builds gemäss CVE-Eintrag: 10.0.14393.9688, 10.0.17763.9487, 10.0.20348.5870 und 10.0.26100.33822 oder höher
- Konkrete KB-Nummer: Unbekannt. Im Microsoft Security Update Guide prüfen.
Umgehung
Unbekannt. Vom Hersteller ist keine Umgehungsmassnahme dokumentiert.
Ausnutzung
Unbekannt. Zum Zeitpunkt der Recherche wurden keine Angriffe in freier Wildbahn, kein öffentlicher Proof of Concept und kein Eintrag im CISA-KEV-Katalog gefunden.
Unsere Empfehlung
- Alle Windows-Server mit der DNS-Rolle identifizieren, insbesondere Domänencontroller und allfällige aus dem Internet erreichbare DNS-Server.
- Im Microsoft Security Update Guide die korrigierte KB-Nummer prüfen und das Sicherheitsupdate auf betroffenen Systemen installieren.
- Zugriff auf den DNS-Dienst einschränken und nicht benötigte Rekursion bis zur Behebung deaktivieren.
- CISA KEV und Herstellerkanäle auf Meldungen zu Ausnutzung überwachen.
Angaben von Microsoft (Patch Tuesday November 2026)
- Schweregrad (Microsoft)
- Hoch
- Auswirkung
- Remotecodeausführung – Role: DNS Server
- Stand am Patch Tuesday
- Weder ausgenutzt noch öffentlich bekannt
- Einschätzung der Ausnutzbarkeit
- Ausnutzung weniger wahrscheinlich
- Produktfamilie
- Windows, Windows ESU (erweiterte Sicherheitsupdates)
- Updates (KB)
- KB5131291, KB5131085, KB5131090, KB5131080, KB5131077
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Microsoft Security Update Guide: CVE-2026-96064 msrc.microsoft.com
- Microsoft November 2026 Patch Tuesday (CyberSecurityNews) cybersecuritynews.com
- Windows DNS Server RCE flaw: DNS role context (WindowsForum) windowsforum.com
- CWE-122 heap-based buffer overflow (Enginsight) cve.enginsight.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 20:52.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.