Microsoft .NET: Schreibzugriff ausserhalb des Speichers führt zu Remote Code Execution

Zusammenfassung

Die Microsoft-.NET-Laufzeitumgebungen 8.0, 9.0, 10.0 und 11.0-Previews, mehrere .NET-Framework-Versionen sowie Visual Studio 2022 17.14 und 2026 18.10 enthalten einen Schreibzugriff ausserhalb des Speicherbereichs bei der Verarbeitung von WPF-Pixel-Shadern. Ein nicht authentifizierter Angreifer kann über das Netzwerk Code ausführen, wenn ein Benutzer manipulierte Inhalte öffnet oder lädt, etwa eine schädliche Datei oder einen Link. Microsoft stuft die Schwachstelle mit CVSS 8.8 (hoch) ein; eine Ausnutzung oder ein öffentlicher Proof of Concept ist nicht bekannt.

Betroffen

• .NET 8.0: 8.0.0 bis vor 8.0.32
• .NET 9.0: 9.0.0 bis vor 9.0.21
• .NET 10.0: 10.0.0 bis vor 10.0.13
• .NET 11.0-Previews: 11.0.0 bis vor 11.0.0-rc.2
• .NET Framework 3.5, 4.6.2, 4.7, 4.7.1, 4.7.2, 4.8 und 4.8.1 (genaue Builds gemäss MSRC)
• Visual Studio 2022 Version 17.14: vor 17.14.42
• Visual Studio 2026 Version 18.10: vor 18.10.4
• .NET 6.0 ist end of life und wird von Microsoft nicht bewertet

Behoben in

• .NET 8.0: 8.0.32
• .NET 9.0: 9.0.21
• .NET 10.0: 10.0.13
• .NET 11.0: 11.0.0-rc.2
• .NET Framework und Visual Studio: korrigierte Builds unbekannt, bitte auf MSRC prüfen. Microsoft gibt an, dass das .NET-Framework-Update KB5127694 vom 13. Oktober 2026 diese Schwachstelle adressiert.
• .NET 6.0: der Drittanbieter HeroDevs nennt NES 6.0.47 (kein Microsoft-Fix)

Umgehung

• Kein Workaround des Herstellers verfügbar; Patches installieren.
• Der WPF-Schalter Switch.MS.Internal.WpfGfx.DisableWpfGfxBoundsCheckProtection verhindert diese Schwachstelle nicht.
• Self-contained Anwendungen müssen neu kompiliert und neu verteilt werden, nicht nur auf Systemebene aktualisiert.
• .NET 6.0 ohne erweiterten Support: kein vom Hersteller freigegebener Workaround bekannt; upgraden oder den Umgang mit nicht vertrauenswürdigen Inhalten einschränken.

Ausnutzung

• Keine Ausnutzung bekannt.
• Kein öffentlicher Proof of Concept bekannt.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.

Unsere Empfehlung

• .NET-Laufzeitumgebungen und WPF-basierte Desktop-Anwendungen auf die korrigierten Versionen aktualisieren; für .NET Framework und Visual Studio die Builds auf MSRC prüfen.
• Self-contained Anwendungen neu kompilieren und neu verteilen.
• Arbeitsstationen priorisieren, auf denen Benutzer in WPF-Anwendungen nicht vertrauenswürdige Dateien oder Links öffnen.
• Den neuesten .NET-Patchstand installieren, da das Out-of-Band-Update vom 25. Oktober weitere Schwachstellen behoben hat (CVE-2026-111497, CVE-2026-70197).
• Linux-Server sind nicht betroffen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Response Center: CVE-2026-96224 msrc.microsoft.com
• GitHub Advisory GHSA-xq57-crx4-g373 github.com
• .NET announcement issue 475 github.com
• Microsoft Support: .NET Framework update October 13, 2026 (KB5127694) support.microsoft.com
• HeroDevs vulnerability directory: CVE-2026-96224 www.herodevs.com
• Ubuntu security: CVE-2026-96224 ubuntu.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 17:55.