SecBoard
Zurück zur CVE-Übersicht

CVE-2026-59124

CRITICAL(9.8)

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Risk Signal Score25/100 — MITTEL
  • CVSS 9.8 — Kritisch

EPSS-Score

1.5%

Exploit-Wahrscheinlichkeit (30 Tage)

CVSS Score

9.8

Technische Schwere

SecBoard-Einordnung

CVE-2026-59124 betrifft Microsoft High Performance Computing (HPC) Pack und ist eine Schwachstelle, die auf der Deserialisierung nicht vertrauenswürdiger Daten basiert. Ein nicht autorisierter Angreifer kann diese Schwachstelle über ein Netzwerk ausnutzen, um beliebigen Code auszuführen. Die primäre Auswirkung ist die vollständige Kompromittierung des betroffenen Systems durch ().

KI-gestützte Einordnung auf Basis der NVD-Daten.

Beschreibung

Deserialization of untrusted data in Microsoft High Performance Computing (HPC) Pack allows an unauthorized attacker to execute code over a network.

Erkennung & Indikatoren

Ausnutzung

In den geprüften Quellen nicht genannt

Threat-Hunting-Queries

Die Schwachstelle betrifft die Deserialisierung von nicht vertrauenswürdigen Daten in Microsoft HPC Pack. Die Detektion sollte auf ungewöhnliche Prozessaktivitäten oder Netzwerkverbindungen abzielen, die von HPC Pack-Komponenten ausgehen und auf eine Codeausführung hindeuten könnten.

Sentinel/Defender KQL

DeviceProcessEvents
| where InitiatingProcessFileName =~ "hpccm.exe" or InitiatingProcessFileName =~ "hpcscheduler.exe" // Beispielhafte HPC Pack Prozesse, anpassen falls spezifischere bekannt sind
| where ProcessCommandLine contains "powershell" or ProcessCommandLine contains "cmd.exe" or ProcessCommandLine contains "wmic" // Suche nach ungewöhnlichen Befehlszeilen
| where not (ProcessCommandLine contains "/c echo" and ProcessCommandLine contains "/q") // Filtert harmlose Echo-Befehle
| project TimeGenerated, DeviceName, InitiatingProcessFileName, ProcessCommandLine, FileName, FolderPath, SHA256

Splunk SPL

index=windows (sourcetype=WinEventLog:Security OR sourcetype=WinEventLog:Microsoft-Windows-Sysmon/Operational) (ParentProcessName="hpccm.exe" OR ParentProcessName="hpcscheduler.exe") (CommandLine=*powershell* OR CommandLine=*cmd.exe* OR CommandLine=*wmic*) NOT (CommandLine="* /c echo *" AND CommandLine="* /q*") | table _time, host, ParentProcessName, CommandLine, Image, Hashes

Sigma

title: Microsoft HPC Pack Deserialization RCE Attempt
status: experimental
description: Detects potential remote code execution attempts via deserialization of untrusted data in Microsoft HPC Pack.
references:
    - https://nvd.nist.gov/vuln/detail/CVE-2026-59124
logsource:
    category: process_creation
    product: windows
detection:
    selection:
        ParentImage|endswith:
            - '\hpccm.exe'
            - '\hpcscheduler.exe'
        CommandLine|contains:
            - 'powershell'
            - 'cmd.exe'
            - 'wmic'
    filter:
        CommandLine|contains:
            - '/c echo'
            - '/q'
    condition: selection and not filter
level: high

Elastic ES|QL

from process where event.type == "start" and (process.parent.executable == "hpccm.exe" or process.parent.executable == "hpcscheduler.exe") and (process.args contains "powershell" or process.args contains "cmd.exe" or process.args contains "wmic") and not (process.args contains "/c echo" and process.args contains "/q")

SecBoard-generated · behavioral · requires customization — Von SecBoard erzeugt und nicht in einer Zielumgebung validiert. Vor dem Einsatz an die eigene Protokollierung anpassen.

Betroffene Produkte

  • cpe:2.3:a:microsoft:windows_app:*:*:*:*:*:windows:*:*

Referenzen