Microsoft-Sicherheitshinweis CVE-2026-87697 – Sicherheitslücke bezüglich Remotecodeausführung in .NET und Visual Studio
Die Originalmeldung wurde seit der Erstellung dieser Erklärung geändert. Prüfen Sie die aktuellen technischen Daten und die Originalmeldung unten.
Zusammenfassung
Microsoft hat diesen Sicherheitshinweis herausgegeben, um über eine Sicherheitslücke in Microsoft.WindowsDesktop.App.Runtime (WPF) zu informieren. Der Hinweis enthält Anweisungen für Entwickler zur Aktualisierung ihrer Anwendungen.
Synthetische WPF-XPS-Hyperlinks, die über UI Automation offengelegt werden, können restriktive Navigationsprüfungen umgehen und von Angreifern kontrollierte Inhalte erreichen, was nach einer Benutzerinteraktion eine Remotecodeausführung ermöglicht.
Ankündigung
Die offizielle Ankündigung zu diesem Problem ist unter https://github.com/dotnet/announcements/issues/471 verfügbar.
CVSS-Details
- Version: 3.1
- Schweregrad: Hoch
- Punktzahl: 8.8
- Vektor:
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H - Schwachstelle: CWE-502 (Deserialisierung nicht vertrauenswürdiger Daten)
Betroffene Plattformen
- Plattformen: Windows
- Architekturen: Alle
Betroffene Pakete
Die Sicherheitslücke betrifft Microsoft .NET-Projekte, die eine der unten aufgeführten betroffenen Paketversionen verwenden:
| Paketname | Betroffene Version | Behobene Version |
|---|---|---|
| Microsoft.WindowsDesktop.App.Runtime.win-arm64 | >= 9.0.0, <= 9.0.20 | 9.0.21 |
| Microsoft.WindowsDesktop.App.Runtime.win-x64 | >= 9.0.0, <= 9.0.20 | 9.0.21 |
| Microsoft.WindowsDesktop.App.Runtime.win-x86 | >= 9.0.0, <= 9.0.20 | 9.0.21 |
| Microsoft.WindowsDesktop.App.Runtime.win-arm64 | >= 8.0.0, <= 8.0.31 | 8.0.32 |
| Microsoft.WindowsDesktop.App.Runtime.win-x64 | >= 8.0.0, <= 8.0.31 | 8.0.32 |
| Microsoft.WindowsDesktop.App.Runtime.win-x86 | >= 8.0.0, <= 8.0.31 | 8.0.32 |
| Microsoft.WindowsDesktop.App.Runtime.win-arm64 | >= 11.0.0-preview.1, <= 11.0.0-rc.1 | 11.0.0-rc.2 |
| Microsoft.WindowsDesktop.App.Runtime.win-x64 | >= 11.0.0-preview.1, <= 11.0.0-rc.1 | 11.0.0-rc.2 |
| Microsoft.WindowsDesktop.App.Runtime.win-x86 | >= 11.0.0-preview.1, <= 11.0.0-rc.1 | 11.0.0-rc.2 |
| Microsoft.WindowsDesktop.App.Runtime.win-arm64 | >= 10.0.0, <= 10.0.12 | 10.0.13 |
| Microsoft.WindowsDesktop.App.Runtime.win-x64 | >= 10.0.0, <= 10.0.12 | 10.0.13 |
| Microsoft.WindowsDesktop.App.Runtime.win-x86 | >= 10.0.0, <= 10.0.12 | 10.0.13 |
Häufig gestellte Fragen (FAQ)
Wie stelle ich fest, ob ich betroffen bin?
Wenn Sie ein im Abschnitt „Betroffene Pakete“ aufgeführtes Paket verwenden, ist Ihre Anwendung für die Sicherheitslücke anfällig.
Wie behebe ich das Problem?
- Installieren Sie die neueste Version von .NET. Wenn Sie mindestens ein .NET SDK über Visual Studio installiert haben, werden Sie von Visual Studio zu einer Aktualisierung aufgefordert, wodurch auch Ihre .NET SDKs aktualisiert werden.
- Wenn Ihre Anwendung auf ein betroffenes Paket verweist, aktualisieren Sie die Paketverweise auf die behobene Version. Die installierten Versionen können mit dem Befehl
dotnet --infoermittelt werden.
Starten Sie Ihre Anwendungen neu, sobald die aktualisierte Laufzeitumgebung oder das SDK installiert wurde, damit die Änderungen wirksam werden.
Zudem müssen selbsttragende Anwendungen, die auf eine der betroffenen Versionen abzielen, neu kompiliert und bereitgestellt werden.
Weitere Informationen
Melden von Sicherheitsproblemen
Wenn Sie ein potenzielles Sicherheitsproblem in einer unterstützten Version von .NET gefunden haben, melden Sie dieses bitte an das Microsoft Security Response Center (MSRC) über das MSRC-Forscherportal. Weitere Informationen finden Sie in den MSRC FAQ zum Melden von Problemen.
Über das MSRC eingereichte Sicherheitsberichte qualifizieren sich möglicherweise für das Microsoft .NET Bounty-Programm. Details und Bedingungen finden Sie unter https://aka.ms/corebounty.
Support
Fragen zu diesem Problem können auf GitHub innerhalb der .NET GitHub-Organisation gestellt werden. Die Haupt-Repositories befinden sich unter https://github.com/dotnet/runtime. Das Ankündigungs-Repository (https://github.com/dotnet/Announcements) enthält diesen Hinweis als Issue mit einem Verweis auf ein Diskussions-Issue.
Haftungsausschluss
Die in diesem Hinweis enthaltenen Informationen werden „wie besehen“ und ohne Gewährleistung jeglicher Art bereitgestellt. Microsoft lehnt jede Gewährleistung ab, sei sie ausdrücklich oder stillschweigend, einschließlich der Gewährleistung der Marktgängigkeit und Eignung für einen bestimmten Zweck. In keinem Fall haftet die Microsoft Corporation oder ihre Lieferanten für Schäden gleich welcher Art. Einige Staaten erlauben den Ausschluss oder die Beschränkung der Haftung für Folgeschäden nicht, sodass die vorstehende Beschränkung möglicherweise nicht zutrifft.
Externe Links
Danksagung
- 41ae55e9310ff27fa6f26af4727e5590
Überarbeitungen
V1.0 (10/13/2026): Hinweis veröffentlicht.
Was zu tun ist
Zur Behebung der Sicherheitslücke:
- Installieren Sie die neueste Version von .NET. Bei Installation über Visual Studio folgen Sie den Aktualisierungsaufforderungen von Visual Studio, um auch die SDKs zu aktualisieren.
- Aktualisieren Sie die Paketverweise in Ihren Anwendungen auf die behobenen Versionen. Überprüfen Sie installierte Versionen mit dem Befehl
dotnet --info.
Starten Sie betroffene Anwendungen nach der Installation der aktualisierten Laufzeit oder des SDKs neu.
Bereitgestellte selbsttragende Anwendungen, die auf betroffene Versionen abzielen, müssen neu kompiliert und erneut bereitgestellt werden.
Betroffene Software
Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.
| Plattform | Paket | Anfällige Versionen | Behoben in |
|---|---|---|---|
| .NET (NuGet) | Microsoft.WindowsDesktop.App.Runtime.win-arm64 | >= 9.0.0, < 9.0.21, >= 8.0.0, < 8.0.32, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 10.0.0, < 10.0.13 | 9.0.21, 8.0.32, 11.0.0-rc.2, 10.0.13 |
| .NET (NuGet) | Microsoft.WindowsDesktop.App.Runtime.win-x64 | >= 9.0.0, < 9.0.21, >= 8.0.0, < 8.0.32, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 10.0.0, < 10.0.13 | 9.0.21, 8.0.32, 11.0.0-rc.2, 10.0.13 |
| .NET (NuGet) | Microsoft.WindowsDesktop.App.Runtime.win-x86 | >= 9.0.0, < 9.0.21, >= 8.0.0, < 8.0.32, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 10.0.0, < 10.0.13 | 9.0.21, 8.0.32, 11.0.0-rc.2, 10.0.13 |
Verweise
- https://github.com/dotnet/wpf/security/advisories/GHSA-c27m-942f-rcfh
- https://github.com/dotnet/announcements/issues/471
- https://github.com/dotnet/wpf/issues/12021
- https://github.com/dotnet/wpf
- https://nvd.nist.gov/vuln/detail/CVE-2026-87697
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-87697
- CVSS-Vektor
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H- Schwäche (CWE)
CWE-502- Plattform
- .NET (NuGet)
- Paket
Microsoft.WindowsDesktop.App.Runtime.win-arm64, Microsoft.WindowsDesktop.App.Runtime.win-x64, Microsoft.WindowsDesktop.App.Runtime.win-x86- Veröffentlicht
- 13.10.2026
- Aktualisiert
- 19.10.2026 22:17
Quellen und Lizenzen · Von DockRay bearbeitet oder übersetzt; Rechte und Lizenzen der Quellen bleiben erhalten.
OSV / GitHub Advisory Database - GHSA-c27m-942f-rcfh - CC BY 4.0
Schwachstellenhistorie: Microsoft.WindowsDesktop.App.Runtime.win-arm64
Alle veröffentlichten Schwachstellen dieses Pakets (.NET (NuGet)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.
- Einträge insgesamt
- 19
- Erste → letzte
- 12.2022 10.2026
- Ohne Fix
- 0
- In Angriffen ausgenutzt
- 0
Verteilung nach Schweregrad
- Hoch 16
- Mittel 3
Veröffentlichungen pro Jahr
- 2022: 1
- 2023: 2
- 2024: 1
- 2025: 0
- 2026: 15
-
Microsoft-Sicherheitshinweis CVE-2026-87697 – Sicherheitslücke bezüglich Remotecodeausführung in .NET und Visual Studio dieser Eintrag
Erkennen Sie Schwachstellen in Ihrer Anwendung
Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.