Microsoft Windows DHCP Server: Remote Code Execution durch Use After Free

Zusammenfassung

Microsoft hat eine Use-After-Free-Schwachstelle (CWE-416) in der DHCP-Serverrolle von Windows behoben. Ein nicht authentifizierter Angreifer mit Netzwerkzugriff kann auf dem Server Code ausführen, der CVSS-Wert beträgt 9.8 (kritisch). Microsoft stuft die Ausnutzung als weniger wahrscheinlich ein und nennt keine öffentliche Offenlegung, dennoch sollten DHCP-Server in internen Netzwerksegmenten vorrangig gepatcht werden.

Betroffen

• Windows 10 Version 1607 (CNA-Daten: 10.0.14393.0 bis < 10.0.14393.9612; der NVD-CPE-Eintrag führt dieses Produkt auf)
• Windows 10 Version 1809 (CNA-Daten: 10.0.17763.0 bis < 10.0.17763.9376)
• Windows Server 2012 und 2012 Server Core (CNA-Daten: 6.2.9200.0 bis < 6.2.9200.26434)
• Windows Server 2012 R2 und 2012 R2 Server Core (CNA-Daten: 6.3.9600.0 bis < 6.3.9600.23470)
• Windows Server 2016 und 2016 Server Core (CNA-Daten: 10.0.14393.0 bis < 10.0.14393.9612)
• Windows Server 2019 und 2019 Server Core (CNA-Daten: 10.0.17763.0 bis < 10.0.17763.9376)
• Windows Server 2022 (CNA-Daten: 10.0.20348.0 bis < 10.0.20348.5761)
• Windows Server 2025 und 2025 Server Core (CNA-Daten: 10.0.26100.0 bis < 10.0.26100.33650)
• Die Build-Nummern stammen aus einer Drittquelle mit den CNA-Daten und müssen mit der MSRC-Meldung abgeglichen werden.

Behoben in

• Das Microsoft-Sicherheitsupdate vom Oktober 2026 für jede betroffene Version installieren (siehe MSRC-Meldung).
• Behobene Builds gemäss CNA-Daten: 10.0.14393.9612 (1607, 2016), 10.0.17763.9376 (1809, 2019), 6.2.9200.26434 (2012), 6.3.9600.23470 (2012 R2), 10.0.20348.5761 (2022), 10.0.26100.33650 (2025).
• KB-Artikelnummern: Unbekannt.

Umgehung

Unbekannt. Die Behebung erfolgt durch das Update von Microsoft. Die berichtete Voraussetzung eines Failover-Modus für die Ausnutzung ist nicht verifiziert und darf nicht als Schutzmassnahme verwendet werden.

Ausnutzung

• Microsoft stuft die Ausnutzung als Exploitation Less Likely ein.
• Microsoft führt die Schwachstelle als nicht öffentlich bekannt, der temporale Vektor deutet auf keinen öffentlichen Exploit-Code hin.
• CISA-SSVC-Daten: Ausnutzung none, automatisierbar yes.
• Zum Zeitpunkt der Recherche wurden keine Berichte über Ausnutzung in freier Wildbahn gefunden.

Unsere Empfehlung

• Alle Systeme mit der DHCP-Serverrolle identifizieren und die genaue Windows-Version und den Build prüfen.
• Alle betroffenen DHCP-Server vorrangig patchen, zuerst Systeme mit 2012, 2016 und 2019 sowie Server in Failover-Paaren.
• Den Lifecycle-Status von Windows 10 1607 prüfen, da für diese Geräte keine Sicherheitsupdates mehr erscheinen könnten.
• Den Zugriff auf den DHCP-Dienst mit Netzwerksegmentierung und Host-Firewall-Regeln einschränken und DHCP-Server von Gäste-, DMZ- und Internet-Netzen fernhalten.
• CISA KEV und Herstellermeldungen auf Hinweise zur Ausnutzung überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Response Center: CVE-2026-96934 msrc.microsoft.com
• Vulners: CVE data mirror (CNA version data) vulners.com
• Strix AI: CVE-2026-96934 www.strix.ai
• Action1: Patch Tuesday October 2026 www.action1.com
• OpenCVE: CVE-2026-96934 (CISA-ADP SSVC) app.opencve.io
• VulDB: CVE-2026-96934 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 18:14.