Microsoft .NET: Remote Code Execution durch Out-of-Bounds Write in WPF

Zusammenfassung

Ein Out-of-Bounds Write in der WPF-Laufzeitumgebung von Microsoft .NET 8 bis 11 sowie in betroffenen Visual-Studio-Versionen ermöglicht Remote Code Execution. Manipulierter WPF-Pixel-Shader-Bytecode kann die beiden Parsing-Durchläufe in CPSTrans::Initialize aus dem Takt bringen, was zu Out-of-Bounds-Schreib- oder Lesezugriffen im Heap führt. Ein Angreifer benötigt keine Berechtigungen, es muss jedoch ein Benutzer den präparierten Inhalt öffnen oder laden, beispielsweise über eine Phishing-Datei oder einen Link; betroffen sind nur Windows-Desktop-Anwendungen, die nicht vertrauenswürdige Shader darstellen.

Betroffen

• Microsoft .NET 8: 8.0.0 bis 8.0.31
• Microsoft .NET 9: 9.0.0 bis 9.0.20
• Microsoft .NET 10: 10.0.0 bis 10.0.12
• Microsoft .NET 11 Previews: 11.0.0-preview.1 bis 11.0.0-rc.1
• Visual Studio 2022 Version 17.14: 17.14.0 bis 17.14.42 (vor 17.14.42)
• Visual Studio 2026 Version 18.10: 18.10.0 bis 18.10.4 (vor 18.10.4)
• .NET 6 wird von Microsoft nicht aufgeführt; eine Drittanbieter-Angabe zu .NET 6 ist nicht verifiziert.

Behoben in

• .NET 8.0.32
• .NET 9.0.21
• .NET 10.0.13
• .NET 11.0.0-rc.2
• Visual Studio 2022 17.14.42 und Visual Studio 2026 18.10.4 oder neuer (gemäss CVE-Eintrag)

Umgehung

Unbekannt. Es wurde keine vom Hersteller veröffentlichte Workaround-Massnahme gefunden. Bis zum Patch keine nicht vertrauenswürdigen WPF-Inhalte und Pixel-Shader öffnen oder laden.

Ausnutzung

• Microsoft: nicht öffentlich bekannt und nicht als ausgenutzt gemeldet; Ausnutzbarkeit als "Exploitation Less Likely" eingestuft.
• CISA SSVC: automatisierbar nein, Ausnutzung keine.
• Nicht im CISA-KEV-Katalog aufgeführt.
• Kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Die Laufzeitumgebungen .NET 8, 9, 10 und 11 sowie betroffene Visual-Studio-Installationen auf die korrigierten Versionen aus dem Oktober-2026-Servicing-Release aktualisieren.
• Selbstständige WPF-Anwendungen neu erstellen und neu verteilen sowie Paketreferenzen auf gepatchte Versionen aktualisieren.
• WPF-Anwendungen identifizieren, die nicht vertrauenswürdige Inhalte oder Shader laden, etwa eigene Viewer und Fachanwendungen, und deren Nutzung bis zum Patch einschränken oder vermeiden.
• Unerwartete Dateien und Links aus unbekannten Quellen mit Vorsicht behandeln.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-96235 msrc.microsoft.com
• dotnet announcements issue 483 (Microsoft advisory mirror) github.com
• GitHub Advisory GHSA-g44w-h65v-4cw9 github.com
• Ubuntu Security: CVE-2026-96235 ubuntu.com
• OpenCVE: CVE-2026-96235 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 17:55.