Windows DNS Server: Informationsoffenlegung durch Out-of-Bounds-Read

Zusammenfassung

Ein Out-of-Bounds-Read in der Serverrolle Windows DNS Server erlaubt einem berechtigten Angreifer mit hohen Privilegien, über das Netzwerk Speicherinhalte auszulesen und Informationen offenzulegen. Die Auswirkung beschränkt sich gemäss CVSS-Vektor auf die Vertraulichkeit, ohne Auswirkung auf Integrität oder Verfügbarkeit. Ausgelesener Speicher könnte einem Angreifer helfen, weitere Schwachstellen zu verketten, weshalb interne DNS-Server im regulären Patch-Zyklus aktualisiert werden sollten.

Betroffen

• Windows Server 2016 und Server-Core-Installation: vor 10.0.14393.9688
• Windows Server 2019 und Server-Core-Installation: vor 10.0.17763.9487
• Windows Server 2022: vor 10.0.20348.5870
• Windows Server 2025 und Server-Core-Installation: vor 10.0.26100.33822 (gemäss CVE-Eintrag; in der MSRC-Meldung prüfen)
• Windows-Client-Editionen: Unbekannt.

Behoben in

• Windows Server 2016 und Server Core: 10.0.14393.9688 oder neuer
• Windows Server 2019 und Server Core: 10.0.17763.9487 oder neuer
• Windows Server 2022: 10.0.20348.5870 oder neuer
• Windows Server 2025 und Server Core: 10.0.26100.33822 oder neuer (in der MSRC-Meldung prüfen)
• Veröffentlicht mit den Updates des Patch Tuesday vom November 2026 (10. November 2026).

Umgehung

Unbekannt. Kein Workaround des Herstellers identifiziert; das Patchen ist die genannte Massnahme.

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
• CISA SSVC: Ausnutzung keine, nicht automatisierbar, partielle technische Auswirkung.
• Rapid7 stuft die Ausnutzung als eher unwahrscheinlich ein; nicht öffentlich bekannt gegeben.
• Kein öffentlich verfügbarer Proof-of-Concept gefunden.

Unsere Empfehlung

• Das kumulative Update vom November 2026 auf allen Windows-Server-Systemen mit der Serverrolle DNS Server installieren, zuerst auf Domain Controllern.
• Die Build-Nummer für Server 2025 in der MSRC-Meldung überprüfen.
• Interne DNS-Server im nächsten Wartungsfenster aktualisieren; früher, falls DNS aus nicht vertrauenswürdigen Netzen erreichbar ist.
• Hochprivilegierten Zugriff auf DNS-Server einschränken und auf ungewöhnliche DNS-Server-Aktivitäten überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide: CVE-2026-96986 msrc.microsoft.com
• CVE Record: CVE-2026-96986 www.cve.org
• VulDB: CVE-2026-96986 vuldb.com
• Rapid7: Patch Tuesday November 2026 www.rapid7.com
• BleepingComputer: Microsoft November 2026 Patch Tuesday www.bleepingcomputer.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 19:34.