CVE-2026-62893 ist eine kritische Schwachstelle zur Remotecodeausführung in der TFTP-Komponente der Windows Deployment Services. Sie ist ohne Authentifizierung erreichbar und Microsoft hält eine Ausnutzung für wahrscheinlicher. Das betriebliche Risiko steigt durch das typische Altern von Deployment-Infrastruktur: Ein WDS-Server bleibt häufig noch online, nachdem das Unternehmen sein Imaging umgestellt hat, weil eine kleine Niederlassung, ein Recovery-Ablauf oder eine undokumentierte Geräteklasse weiterhin davon abhängt.

Bedeutung für den Betrieb

Der erste Schritt ist nicht die Annahme, dass die CMDB jeden PXE-Pfad kennt. DHCP-Optionen und -Richtlinien, IP-Helper, DNS-Einträge, Firewallregeln, Deployment-Tasksequenzen, Zeitstempel der Bootimages und aktuelle WDS-Protokolle liefern den wirklichen Bestand. Diese Belege unterscheiden einen aktiven Dienst von einer vergessenen Rolle und zeigen, welche Netze TFTP erreichen können. Auch ein Server ohne aktuelle Deployments kann breit exponiert sein.

Technische Infrastruktur für WDS- und TFTP-Deployment
WDS- und TFTP-Deployment beginnt mit vollständigem Bestand und klaren Betriebsgrenzen.

Nach dem Patch ist ein vollständiger Boot-Test nötig. Repräsentative BIOS- und UEFI-Clients müssen das richtige Bootprogramm erhalten, das Image herunterladen, die Deployment-Umgebung erreichen und auf benötigte Inhalte zugreifen. Änderungen am TFTP-Verhalten können alte Clients oder Tuningannahmen sichtbar machen, die eine Dienstprüfung übersieht. Mindestens ein entfernter oder gerouteter Standort gehört in die Validierung.

Wird die Rolle nicht mehr benötigt, ist Entfernung besser als dauerhaftes Patchen. Helper und DHCP-Richtlinien werden zurückgebaut, benötigte Images und Konfigurationen archiviert, Firewallpfade geschlossen und das neue Recovery-Verfahren dokumentiert. Bleibt WDS erforderlich, erhält es einen Eigentümer, eingeschränkte erreichbare Netze, Nutzungsmonitoring und einen Platz im normalen Infrastruktur-Patchring.

Betriebliche Prüfung für WDS- und TFTP-Deployment
Der Change endet erst nach der Validierung von WDS- und TFTP-Deployment unter realen Bedingungen.

Praktische Konsequenz

Die praktische Schlussfolgerung: Legacy-Deployment-Dienste werden entweder betrieben oder entfernt. Tatsächliche PXE-Abhängigkeiten inventarisieren, den kompletten Bootpfad patchen und testen und danach unnötige TFTP-Exposition beseitigen. Der gefährlichste Deployment-Server ist oft der, der noch lauscht, obwohl ihn niemand für produktiv hält.