CVE-2026-65791 ist eine Schwachstelle zur Remotecodeausführung im Windows iSCSI Target Server, die ohne Authentifizierung über das Netzwerk erreichbar ist. Sie widerspricht der Annahme, Storage-Netze seien inhärent vertrauenswürdig, weil dort keine normalen Anwender arbeiten. Initiatoren, Hypervisoren, Backup-Systeme und Cluster tauschen privilegierten Storage-Verkehr über einen Dienst aus, der wie jede andere erreichbare Serverkomponente gepatcht werden muss.

Bedeutung für den Betrieb

Das Inventar ordnet jedem Target-Server virtuelle Disks, Initiator-IQNs, Authentifizierung, Portale, VLANs, Multipathing, Cluster- oder Failoverrolle und abhängige Workloads zu. Auch Test- oder Migrationstargets werden gesucht. Ein Listener im Storage-VLAN ist weniger exponiert als ein Internetdienst, doch lateraler Zugriff in diesem Netz kann deutlich größere Verfügbarkeitsfolgen haben.

Technische Infrastruktur für Windows-iSCSI-Target-Betrieb
Windows-iSCSI-Target-Betrieb beginnt mit vollständigem Bestand und klaren Betriebsgrenzen.

Vor der Wartung werden Konfiguration und aktive Sitzungen erfasst, alternative Pfade bestätigt, aktuelle Recovery Points geprüft und das Reconnect-Verhalten der Initiatoren verstanden. Wenn die Architektur es zulässt, folgt ein Node oder Pfad nach dem anderen. Danach werden persistente Targets, MPIO, Disk-Sichtbarkeit, Reservierungen, Clusterressourcen, Latenz, Ereignisprotokolle und Anwendungs-I/O validiert.

Die Änderung ist zugleich eine Gelegenheit, Vertrauen zu verkleinern. Portale und Firewallregeln auf benötigte Initiatoren begrenzen, Management- und Datenpfade trennen, alte Targets entfernen, CHAP gegebenenfalls prüfen und unerwartete Sitzungen überwachen. Storage-Isolation muss durch Netzwerk und Identität erzwungen sein und darf nicht auf der Geheimhaltung einer VLAN-Nummer beruhen.

Betriebliche Prüfung für Windows-iSCSI-Target-Betrieb
Der Change endet erst nach der Validierung von Windows-iSCSI-Target-Betrieb unter realen Bedingungen.

Praktische Konsequenz

Die praktische Schlussfolgerung verbindet Security und Storage Operations für die iSCSI-Target-Wartung. Server patchen, jeden abhängigen Pfad nachweisen und die Reichweite auf erforderliche Systeme begrenzen. Storage-Verfügbarkeit und Storage-Sicherheit teilen dieselbe Implementierung; getrennte Change-Prozesse lassen die wichtigsten Fehlerpfade ungetestet.