Microsoft OpenSSH für Windows: Use after free führt zu Remote Code Execution

Zusammenfassung

Microsoft OpenSSH für Windows enthält eine Use-after-free-Schwachstelle (CWE-416), erfasst als CVE-2026-97816. Ein nicht authentifizierter Angreifer im Netzwerk kann diese ausnutzen, um Code auszuführen, was der CVSS-Wert 9.8 widerspiegelt. Es sind weder Zugangsdaten noch Benutzerinteraktion nötig, daher ist die Netzwerkerreichbarkeit des Dienstes die wesentliche Voraussetzung. MSRC stuft den Schweregrad als Important ein, was von der NVD-Bewertung abweicht.

Betroffen

• Windows 10 Version 1809 und Windows Server 2019 (inklusive Server Core): 10.0.17763.0 bis unter 10.0.17763.9376
• Windows 10 Version 21H2: 10.0.19044.0 bis unter 10.0.19044.7807
• Windows 10 Version 22H2: 10.0.19045.0 bis unter 10.0.19045.7807
• Windows 11 Version 23H2: 10.0.22631.0 bis unter 10.0.22631.7652
• Windows 11 Version 24H2: 10.0.26100.0 bis unter 10.0.26100.9711
• Windows 11 Version 25H2: 10.0.26200.0 bis unter 10.0.26200.9711
• Windows 11 Version 26H1: 10.0.28000.0 bis unter 10.0.28000.3231
• Windows 11 Version 26H2: 10.0.26300.0 bis unter 10.0.26300.9711
• Windows Server 2022: 10.0.20348.0 bis unter 10.0.20348.5761
• Windows Server 2025 (inklusive Server Core): 10.0.26100.0 bis unter 10.0.26100.33650

Quelle: Bereiche aus dem CVE-Eintrag. Noch nicht gegen MSRC verifiziert.

Behoben in

Unbekannt bis zur Bestätigung durch MSRC.

• Die oberen Grenzen der Bereiche im CVE-Eintrag (zum Beispiel 10.0.17763.9376 für Windows 10 1809 und Server 2019) gelten als vermutlich erste korrigierte Builds.
• KB-Nummern: Unbekannt.

Umgehung

• Unbekannt. Kein Workaround des Herstellers gefunden.
• Falls der OpenSSH-Server nicht benötigt wird, deaktivieren.
• Falls er benötigt wird, TCP-Port 22 per Firewall-Regeln auf Management-Netze beschränken und nicht ins Internet exponieren.

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
• Rapid7 stuft die Ausnutzung als Less Likely ein.
• CISA SSVC: Ausnutzung none, automatisierbar yes, technische Auswirkung total.
• Kein öffentlicher Proof of Concept gefunden; dies beweist nicht, dass keiner existiert.

Unsere Empfehlung

• Windows-Systeme mit aktiviertem OpenSSH-Feature inventarisieren und prüfen, ob sie aus dem Internet oder aus unvertrauten Netzen erreichbar sind.
• OpenSSH-Server dort deaktivieren, wo er nicht benötigt wird.
• Internetexponierte Systeme zuerst patchen und die Oktober-2026-Korrekturen für OpenSSH für Windows zusammen mit den verwandten SSH-Schwachstellen einspielen.
• Prüfen, ob Windows-10-1809- und Server-2019-Systeme noch unterstützt werden.
• Den Ausnutzungsstatus in einigen Tagen erneut prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-97816 msrc.microsoft.com
• GitHub Advisory GHSA-x8mp-74ph-4f29 github.com
• Strix: CVE-2026-97816 www.strix.ai
• OffSeq Radar: CVE-2026-97816 radar.offseq.com
• Hivepro: Microsoft October 2026 Patch Tuesday priority fixes www.hivepro.com
• Rapid7: Patch Tuesday October 2026 www.rapid7.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 18:10.