Windows DHCP Server: Remote Code Execution durch Heap-based Buffer Overflow

Zusammenfassung

Ein Heap-based Buffer Overflow in der Serverrolle Windows DHCP Server erlaubt einem nicht authentifizierten Angreifer, über das Netzwerk Code aus der Ferne auszuführen. Der CVSS-Basiswert beträgt 9.8 (Critical), während Microsoft die Schwachstelle als Important einstuft. Für einen Angriff ist Netzwerkzugriff auf einen DHCP-Server mit installierter Rolle nötig, der in der Regel auf das interne LAN beschränkt ist.

Betroffen

• Windows 10 Version 1607 und 1809 (Builds unter 10.0.14393.9612 bzw. 10.0.17763.9376)
• Windows Server 2012 und 2012 R2, inklusive Server Core (Builds unter 6.2.9200.26434 bzw. 6.3.9600.23470)
• Windows Server 2016 und 2019, inklusive Server Core (Builds unter 10.0.14393.9612 bzw. 10.0.17763.9376)
• Windows Server 2022 (Builds unter 10.0.20348.5761)
• Windows Server 2025, inklusive Server Core (Builds unter 10.0.26100.33650)

Behoben in

• Windows 10 1607 und Server 2016: 10.0.14393.9612
• Windows 10 1809 und Server 2019: 10.0.17763.9376
• Server 2012 und 2012 Server Core: 6.2.9200.26434
• Server 2012 R2 und Server 2012 R2 Server Core: 6.3.9600.23470
• Server 2022: 10.0.20348.5761
• Server 2025: 10.0.26100.33650

Microsoft hat die Korrekturen am 13. Okt. 2026 veröffentlicht. KB-Nummern: Unbekannt. Diese sind auf der MSRC-Seite des jeweiligen Produkts zu finden.

Umgehung

• Kein Workaround des Herstellers gefunden. Unbekannt.
• Vom Hersteller nicht bestätigte Massnahmen: Zugriff auf den DHCP-Dienst mit Firewallregeln auf Host- oder VLAN-Ebene einschränken und die DHCP-Rolle von Hosts entfernen, die sie nicht benötigen.

Ausnutzung

• Nicht in der CISA-KEV-Liste enthalten.
• CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
• Temporaler Vektor von Microsoft: Exploit Code Maturity Unproven (E:U).
• Im Rahmen der Recherche wurde kein öffentlicher Proof of Concept gefunden. Dies beweist nicht, dass keiner existiert.

Unsere Empfehlung

• Die Sicherheitsaktualisierung von Microsoft auf allen betroffenen Windows- und Windows-Server-Builds installieren, zuerst auf Servern mit DHCP-Rolle.
• Alle Hosts auf die Rolle DHCP Server prüfen, inklusive Windows-10-Clients, und unerwartete DHCP-Dienste identifizieren.
• Mit Firewallregeln einschränken, welche Hosts den DHCP-Dienst erreichen können, und die Rolle entfernen, wo sie nicht benötigt wird.
• DHCP-Logs bis zum Abschluss der Aktualisierung auf ungewöhnliche Aktivitäten überwachen.
• Den Supportstatus von Windows 10 1607 vor Empfehlungen an Kunden bei Microsoft überprüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-96320 msrc.microsoft.com
• Vulners: CVE-2026-96320 (CNA record) vulners.com
• OpenCVE: CVE-2026-96320 app.opencve.io
• VulDB: CVE-2026-96320 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 18:17.