Seit dem 22. Oktober hat der Monat einen Namen: „Black October”. Ein X-Account hatte zehn Sicherheitsvorfälle aus 48 Stunden aufgelistet, Florian Roth zog mit einer eigenen Liste nach, Günter Born griff den Begriff auf Borncity auf. Wer in dieser Woche einen PHP-Server, einen Exchange-Server, eine Fortinet-Firewall oder ein Node.js-Backend betreibt, hat vermutlich wenig geschlafen. Und wer nicht jeden Tag Security-Nachrichten liest, hat inzwischen den Überblick verloren, was davon ihn betrifft.

Dieser Artikel liefert diesen Überblick. Er fasst die Sicherheitsvorfälle und Sicherheitslücken des Oktobers 2026 nach Kategorien zusammen, mit CVE-Nummern, behobenen Versionen und dem Stand der Ausnutzung, jeweils belegt an Hersteller-Advisories und Primärquellen. Er legt dann die Monatszahlen des CVE-Programms, der Microsoft-Patchdays und des CISA-Katalogs aktiv ausgenutzter Lücken für 2025 und 2026 nebeneinander, um die Frage zu beantworten, ob dieser Oktober wirklich aus dem Rahmen fällt. Die kurze Antwort: beim Volumen der Lücken ja, bei der Ausnutzung nein. Der Treiber hinter beidem ist derselbe: Sprachmodelle, die Lücken finden, und Sprachmodelle, die sie ausnutzen. Und es gibt eine dritte Seite, die in den Listen fehlt: Die Updates, mit denen Microsoft auf die Flut antwortet, sind so fehlerhaft, dass schneller patchen gerade bei Windows das falsche Rezept ist.

Lieferkettenangriffe im Oktober 2026

Der folgenschwerste Vorfall des Monats ist der Angriff auf ConnectWise Cloud Backup. Angreifer missbrauchten App-Zugangsdaten des Backup-Dienstes (ehemals SkyKick), um sich direkt in die Microsoft-365-Tenants von Kunden anzumelden; Multi-Faktor-Authentifizierung griff nicht, weil es sich um eine App-Identität handelte. Microsoft ordnet den Angriff in einem Blogbeitrag vom 21. Oktober dem chinesischen Akteur Storm-0940 zu, der das agentische KI-Pentest-Framework ARTEX nutzt. Es gab Anmeldeversuche bei über 2.250 Tenants, in der Spitze 2.900 pro Minute. Huntress zählte in seiner Kundenbasis mindestens 162 kompromittierte Tenants, in einigen wurden Exchange-Admin- oder Global-Admin-Rollen vergeben. Eine offizielle Opferzahl gibt es nicht.

Aktiv ausgenutzte Lücken in Firewalls, VPNs und Edge-Geräten

Bei den Geräten am Netzrand war der Oktober schon voll, bevor der Begriff „Black October” aufkam. Die Reihenfolge ist chronologisch; alle Lücken in dieser Tabelle werden aktiv ausgenutzt, sofern nicht anders vermerkt.

Das BSI hat im Oktober genau drei eigene Cyber-Sicherheitswarnungen veröffentlicht: Cisco Secure Email Gateway, BeyondTrust und PHP2Shell. Wer sich an diesen drei orientiert, hat die wichtigsten Baustellen, aber nicht alle.

Sicherheitslücken in PHP, Node.js, GitLab und Kernel

Die zweite Gruppe sind Lücken in Software, die fast überall steckt: in Webservern, Build-Pipelines, Hypervisoren und Betriebssystemen. Hier ist die Ausnutzung weniger breit belegt, die Angriffsfläche dafür größer.

Microsoft-Patchday und Exchange-Probleme im Oktober 2026

Der Oktober-Patchday vom 13. Oktober gehört in dieses Lagebild wegen seiner Größe: 1.415 neue Microsoft-CVEs nach Zählung der Zero Day Initiative, erstmals ein vierstelliger Monat und mehr als jedes frühere Microsoft-Gesamtjahr. Aktiv ausgenutzt wurde eine einzige Lücke, CVE-2026-96951, ein Mark-of-the-Web-Bypass in der Windows-Shell. Für Exchange war es das letzte Sicherheitsupdate für die Versionen 2016 und 2019; ab November gibt es Updates nur noch für die Subscription Edition.

Nach den Updates wurden Exchange-Server instabil. Ursache sind laut Exchange Team die Windows-Server-Updates vom Oktober, nicht die Exchange-Sicherheitsupdates: Das Update führt ein Standardlimit von 512 gleichzeitigen Lookups im RPC Endpoint Mapper ein, das unter Exchange-Last erschöpft wird. OWA-Anmeldungen schlagen fehl, Mails bleiben im Postausgang, Sessions brechen mit „MapiExceptionMdbOffline” ab. Der Workaround ist der Registry-Wert EpmapSavedContextCap (REG_DWORD, 65536) unter HKLM\SOFTWARE\Microsoft\Rpc plus Neustart; Microsoft arbeitet laut BleepingComputer an einem Fix und rät von einer Deinstallation ab.

Mehr Patches, mehr Fehler: Microsofts Qualitätsproblem

Damit sind wir bei dem Thema, das in den „Black October”-Listen fehlt, obwohl es für den Betrieb mindestens so wichtig ist wie jede Zero-Day-Lücke: Microsofts Updates reparieren inzwischen fast jeden Monat etwas, das sie im Vormonat kaputt gemacht haben. Ich habe das in den letzten Wochen mehrfach beschrieben, und der Oktober setzt die Reihe fort.

Der September war ein Lehrstück. Stunden nach dem Patchday fielen die Remote-Desktop-Dienste auf Windows Server 2019, 2022 und 2025 aus (KB5122876, KB5122882, KB5122871): Neue Verbindungen blieben bei „Verbindung wird hergestellt” hängen, nach dem ersten Abmelden stürzte der Dienst ab. Microsoft bestritt zunächst bekannte Probleme, bestätigte sie am 11. September und lieferte am 14. September elf Out-of-Band-Updates nach. Am 16. September bestätigte Microsoft, dass Windows 11 nach KB5124008 die Vertrauensstellung zur Domäne verlieren kann, Ursache ist die neue Machine Identity Isolation. Dazu kamen schwarze Bildschirme in RDP- und Hyper-V-Sitzungen, BitLocker-Fehler 24641 und Updates, die sich nach dem ersten Neustart selbst zurückrollten; die Liste steht in meiner Nachlese zum September-Patchday.

Der Oktober macht weiter. Neben dem Exchange-Problem oben können sich auf Windows 11 24H2 bis 26H2 Standardbenutzer nicht mehr per Remote Desktop anmelden (Fehler 0xC000000D), sobald KB5124010 oder ein späteres Update installiert ist und die Administrator Protection aktiv ist, die Microsofts Sicherheits-Baselines mit dem Oktober-Update einschalten. Microsoft hat den Fall am 13. Oktober noch am selben Vormittag auf „Mitigated” gesetzt, was heißt: Workaround vorhanden, Fix offen. Wer Baselines einsetzt, muss die Funktion auf betroffenen RDP-Hosts abschalten; Details in der Nachlese zum Oktober-Patchday. Microsoft selbst hat im MSRC angekündigt, dass Out-of-Band-Updates häufiger werden; Notfall-Patches sind damit Teil des Plans.

Das ist die Kehrseite der Zahlen aus dem Abschnitt davor. Microsoft findet mit MDASH mehr Bugs als je zuvor und packt sie in Pakete mit über tausend Fixes, die in einem Monat auf dieselben Geräte treffen wie Preview-Updates und neue Baselines. Getestet wird das Zusammenspiel offenbar nicht; getestet wird beim Kunden. Für Microsoft ist der Rekord-Patchday ein Beleg dafür, dass die Verteidiger schneller werden. Für den, der die Server betreibt, ist er vor allem ein Rekord an Stellen, an denen etwas schiefgehen kann.

Daraus folgt für mich eine Empfehlung, die quer zu allem steht, was Microsoft derzeit verlangt: Windows-Updates einen Monat versetzt einspielen. Wer den Oktober-Patchday erst im November installiert, bekommt die Fixes für RDS, Exchange und Domänenvertrauen mitgeliefert, statt sie selbst zu entdecken. Die Drei-Tage-Regel, die Microsoft im Juli vorgestellt hat, hätte im September bedeutet, dass die Verteilung an dem Tag abgeschlossen war, an dem Microsoft die Probleme eingestand. Solange die Qualität so bleibt, ist ein beschleunigter Patchrhythmus für Windows keine Sicherheitsmaßnahme, sondern ein zusätzliches Betriebsrisiko.

Fairerweise: Das gilt für Windows-Clients und interne Server. Für alles, was aus dem Internet erreichbar ist und aktiv angegriffen wird, gilt es nicht. Eine FortiMail mit CVE-2026-104286 oder ein NetScaler mit CVE-2026-88779 wartet keinen Monat, weil der Angreifer nicht wartet. Ein schlechter Patch lässt sich deinstallieren, ein kompromittierter Domänencontroller nicht. Die Kunst besteht darin, beides auseinanderzuhalten: Perimeter sofort, Windows mit Abstand und Testring.

Datenpannen, Ausfälle und Angriffe auf Kommunen

In Deutschland traf es im Oktober mehrere Verwaltungen. Die Stadtverwaltung Eichstätt wurde in der Nacht zum 9. Oktober verschlüsselt, der Großteil der Daten vorher kopiert, das Rathaus lief im Notbetrieb. Das Landratsamt Cham wehrte am 8. Oktober einen DDoS-Angriff ab, der zeitweise Mail, Telefonie und Internet mehrerer Gemeinden im Behördennetz lahmlegte. Die Kreisverwaltung Oberspreewald-Lausitz schaltete am 20. Oktober nach einem Hinweis des Innenministeriums auf einen kompromittierten Client vorsorglich alle Systeme ab. Und wegen PHP2Shell gingen am 21. und 22. Oktober die Stadt Münster samt Universität und Kliniken sowie das Landratsamt Biberach vorsorglich vom Netz.

Ist der Oktober 2026 wirklich ungewöhnlich? Die Zahlen

Der erste Reflex nach so einer Liste ist: Ja, offensichtlich. Der zweite sollte sein, nachzuzählen. Drei Zeitreihen helfen dabei: die veröffentlichten CVE-Einträge pro Monat, die neuen Microsoft-CVEs pro Patchday und die monatlichen Neuaufnahmen in den CISA-Katalog der aktiv ausgenutzten Lücken (KEV).

Beim CVE-Volumen ist die Lage eindeutig. 2025 lagen die Monate nach den cvelistV5-Daten des CVE-Programms zwischen 3.010 und 5.432 Einträgen, im Schnitt 3.984 pro Monat. 2026 begann der Januar mit 4.275 und stieg dann fast jeden Monat: 7.815 im Juni, 9.756 im Juli, 12.255 im August, 14.930 im September. Der Oktober steht nach 23 Tagen bei 13.493, das sind rund 587 pro Tag; hochgerechnet auf den Monat wären das etwa 18.000. Bis zum 23. Oktober hat das Jahr 2026 mit 85.338 Einträgen das gesamte Jahr 2025 (47.802) um 78 Prozent übertroffen. Die Prognose von FIRST lag im Februar noch bei einem Median von 59.427 für das ganze Jahr. Zum Vergleich: Der BSI-Lagebericht 2025 nannte durchschnittlich 119 neue Schwachstellen pro Tag und wertete das als Anstieg um 24 Prozent. Der Oktober 2026 liegt rund beim Fünffachen davon. Der CERT-Bund-Zähler im Warn- und Informationsdienst stand am 23. Oktober bei WID-SEC-2026-4141, allein an diesem Vormittag kamen 23 neue Advisories dazu.

Fairerweise gehört dazu: Der Oktober ist beim CVE-Volumen nicht der Spitzenmonat, das war der September. Der Oktober setzt den Trend fort, er erfindet ihn nicht. Was im Oktober neu ist, ist die Dichte der ausgenutzten Lücken in Basiskomponenten innerhalb weniger Tage: PHP, Node.js, GitLab, Citrix, Ivanti, Fortinet, Collabora, VeloCloud, dazu zwei Lieferkettenangriffe auf Entwicklerwerkzeuge an einem einzigen Tag.

Bei Microsoft ist der Sprung noch deutlicher. Die Monate Januar bis Juni 2026 lagen nach ZDI-Zählung noch zwischen 58 und 208 CVEs, dann kamen 621 im Juli, 398 im August, 972 im September und 1.415 im Oktober. 2025 lag der stärkste Monat bei 177, das gesamte Jahr 2023 bei 914. Gleichzeitig ist die Zahl der Zero-Days nicht gestiegen: 15 Microsoft-Zero-Days von Januar bis Oktober 2026 gegenüber 17 im selben Zeitraum 2023. Microsoft hat diese Entwicklung im Juli selbst angekündigt: Das hauseigene Scanning-System MDASH setzt mehrere KI-Modelle auf Windows-Binaries an, und Kunden sollen sich auf ein höheres Volumen pro Patchday einstellen.

Und jetzt die Zahl, die das Bild relativiert. Der CISA-Katalog aktiv ausgenutzter Lücken ist von Januar bis September 2026 um durchschnittlich 27,3 Einträge pro Monat gewachsen. Der September war mit 43 ein Ausreißer, der Oktober steht nach 23 Tagen bei 26 Neuaufnahmen, also exakt im Durchschnitt. Die Google Threat Intelligence Group beziffert in ihrer Analyse vom 30. September die Zahl der in freier Wildbahn ausgenutzten Lücken auf 18 pro Monat (2025: 10,5) und die Zero-Days auf 11 pro Monat (2025: 8). Das ist ein deutlicher Anstieg, aber er bleibt weit hinter dem Anstieg der Veröffentlichungen zurück: Nur 0,23 Prozent aller 2026 veröffentlichten Lücken wurden ausgenutzt, eine von 431. Die Zahl der Lücken explodiert, die Zahl der Angriffe steigt moderat.

Mein Fazit aus den Zahlen: Der Oktober 2026 ist beim Finden und Veröffentlichen von Lücken ein Rekordmonat in einem Rekordjahr. Beim Ausnutzen ist er ein normaler Monat in einem Jahr, in dem „normal” rund 70 Prozent über dem Vorjahr liegt. Beides stimmt gleichzeitig, und das Gefühl der Überforderung kommt aus der Kombination.

KI als Brandbeschleuniger auf beiden Seiten

Dass KI hinter dem Volumen steckt, ist keine Vermutung mehr, die Hersteller sagen es selbst. Microsoft nennt MDASH als Grund für die Patchday-Zahlen. Fortinet bedankt sich bei vier KI-Laboren für die Tests, die zum Hardening-Release führten. Der Node.js-Fehler wurde von OpenAI Codex Security gefunden, PHP2Shell von OpenAI und Wiz mitentdeckt, die Linux-Kernel-Lücken auf der Mailingliste trugen den Finder „TrendAI”. Anthropic hat am 6. Oktober für sein Project Glasswing mindestens 129.000 verifizierte Schwachstellen bei Partnerunternehmen zwischen April und Juli gemeldet, über 33.000 davon als kritisch oder hoch eingestuft, und hält diese Zahl für eine Untererfassung um mindestens den Faktor fünf. Für curl, ein Projekt mit einer Handvoll Kern-Maintainer, hat Daniel Stenberg am 20. Oktober angekündigt, Low- und Medium-Reports künftig öffentlich zu bearbeiten, weil das Meldevolumen das Team an die Grenze bringt; das Release 8.23.0 vom 14. Oktober schloss 24 CVEs auf einmal. Sam Altman sagte in einem Vortrag an der Stanford Graduate School of Business laut Berichten, KI finde inzwischen Fehler bis auf Hardware-Ebene, und er glaube nicht mehr, dass sich alle einfach patchen ließen.

Auf der Angreiferseite ist der Oktober der Monat, in dem KI-gesteuerte Angriffe von Einzelfällen zum Muster wurden. Microsoft beschreibt ARTEX, das Storm-0940 bei ConnectWise nutzte, als Open-Source-Framework mit mehreren Sprachmodell-Agenten, mit dem der Akteur in mehreren Fällen in unter drei Stunden von der Zielauswahl zum privilegierten Zugriff kam; Hunderte Organisationen seit September. Straiker beschreibt mit CARLIY0S ein System, das Claude als Kommandanten und Grok als Datensammler kombiniert und über 400 Finanzziele bearbeitete. Unit 42 beobachtete bei PHP2Shell einen Angriff auf eine europäische Behörde, bei dem agentische KI-Plattformen innerhalb von zwei Stunden nach dem Einbruch Passwort-Hashes und MFA-Geheimnisse abzogen und einen Domain-Admin-Zugriff versuchten. Volexity schreibt bei der Ivanti-Kette von LLM-Einsatz durch die Angreifer, DIVD bei Zammad von einem autonomen Agenten, und die Agentenplattform Cairn wurde laut SecurityWeek missbraucht, um über 100 Organisationen mit mehr als 1.100 Angriffsprojekten anzugehen, Erfolgsquote rund zehn Prozent. Die Beobachtung von Mandiant aus dem Frühjahr, dass die mittlere Zeit bis zur Ausnutzung bereits negativ ist, also vor dem Patch liegt, passt dazu; die Atlassian-Lücke war zwei Stunden nach dem PoC unter Beschuss.

Die Gegenposition verdient einen eigenen Absatz, weil sie stark ist. Dustin Childs von der ZDI schreibt in seinem Oktober-Review, KI erfinde die Bugs nicht, sie seien alle schon da gewesen; sie verkürze nur die Zeit zwischen Existenz und Entdeckung, und die Entdeckung skaliere schneller als die Ausnutzung. GTIG zeigt, dass KI-gefundene Lücken zu 58 Prozent als mittel und nur zu vier Prozent als hoch eingestuft werden, und dass rund 5.000 der 2026er-CVEs allein auf automatische Linux-Kernel-Zuweisungen entfallen, ohne einen einzigen beobachteten Zero-Day. VulnCheck zählte im ersten Halbjahr 1.061 KI-attribuierte Lücken, von denen 14 ausgenutzt wurden, 1,3 Prozent. Und Daniel Stenberg hat im Mai in einem Blogbeitrag nüchtern aufgeschrieben, dass von fünf als bestätigt gemeldeten Mythos-Funden in curl genau einer eine echte, niedrig eingestufte Schwachstelle war. Wer sagt, der „Black October” sei vor allem eine Veröffentlichungswelle, deren Etikett den Blick auf die eigentliche Uhr, die Ausnutzungsgeschwindigkeit, verstellt, hat die Zahlen auf seiner Seite.

Ich halte beide Lesarten für richtig, und das ist das Problem. Für Hersteller und Maintainer ist die Flut echt, und sie können sie nicht abarbeiten: Von den Glasswing-Funden in Open-Source-Projekten waren Anfang Oktober nach einer Auswertung des Disclosure-Dashboards 6.157 offengelegt und 516 gepatcht, 8,4 Prozent. Für Betreiber ist die Ausnutzung echt, und die passiert zunehmend in Stunden statt Wochen. Die Lücke zwischen beidem, also zwischen dem, was bekannt ist, und dem, was gefixt und eingespielt ist, wird größer. Genau in dieser Lücke arbeiten ARTEX und CARLIY0S.

Was Sie jetzt prüfen sollten

Bei dieser Menge hilft keine Liste mit 60 Punkten, sondern eine Reihenfolge. Zuerst alles, was aus dem Internet erreichbar ist und aktiv angegriffen wird: PHP (8.5.12, 8.4.27, 8.3.36, 8.2.35 oder Backport), Citrix NetScaler, Ivanti Connect Secure, FortiMail und FortiOS, PAN-OS, Cisco Secure Email, BeyondTrust Remote Support, Atlassian Data Center, SonicWall SMA, Nextcloud mit Collabora-App, Arista VeloCloud. Wer eines dieser Produkte seit Anfang Oktober ungepatcht betrieben hat, sollte nicht patchen und weitermachen, sondern von einer Kompromittierung ausgehen und danach suchen; bei Citrix, Ivanti und BeyondTrust liegen die Indikatoren in den verlinkten Berichten.

Zweitens die Lieferkette: Wer ConnectWise Cloud Backup oder SkyKick im Einsatz hatte, prüft die App-Registrierungen und Rollenzuweisungen im Microsoft-365-Tenant, nicht nur die Anmeldeprotokolle. Wer LiteLLM, Railway, Zeabur, Rank Math PRO, UpdraftPlus oder die OVHcloud-CLI nutzt, rotiert Secrets und sucht nach fremden Admin-Konten. Wer Java betreibt, spielt das eMudhra-Update ein und prüft, ob eigene Zertifikatsketten über eMudhra liefen.

Drittens die stille Masse: Node.js, Brotli-Pakete in Python, GitLab und Ruby, der Linux-Kernel wegen PwnEscape. Hier ist noch keine breite Ausnutzung belegt, aber Florian Roth hat recht mit seiner Warnung, dass automatisierte Scans auf Node2Shell nicht lange auf sich warten lassen. Und bei Exchange: Wer nach den Oktober-Updates OWA-Aussetzer oder stehende Warteschlangen sieht, braucht den Registry-Workaround aus dem Exchange-Team-Blog, keine Deinstallation.

Viertens die Windows-Landschaft: Das Oktober-Update auf Clients und internen Servern einen Monat versetzt einspielen, vorher die Release-Health-Seite und die bekannten Probleme lesen, dann mit einem Testring je Serverrolle beginnen, bei Remote-Desktop-Hosts mit echten An- und Abmeldungen über mehrere Stunden. Wer das Oktober-Update schon installiert hat, prüft Exchange auf den RPC-Workaround und RDP-Hosts auf die Administrator Protection. Und unabhängig vom Rhythmus: Management-Interfaces gehören nicht ins Internet, das war schon vor PHP2Shell so; dass Palo-Alto-VMs und NetScaler nach Posts von Kevin Beaumont, über die mehrere Portale berichten, ohne ASLR laufen, macht es nur dringender.

Fazit

Der Oktober 2026 hat in gut drei Wochen Lieferkettenangriffe auf Backup-, Entwickler- und WordPress-Werkzeuge, ein Dutzend aktiv ausgenutzte Lücken in Firewalls und VPN-Gateways, kritische Fehler in PHP, Node.js, GitLab und dem Linux-Kernel, einen Patchday mit 1.415 CVEs, vier deutsche Verwaltungen im Notbetrieb und die erste von Microsoft als Welle beschriebene KI-gesteuerte Angriffskampagne gebracht. Der Name „Black October” ist eine Zuspitzung, aber keine Übertreibung.

Ungewöhnlich ist der Monat beim Volumen, nicht bei der Ausnutzung. 13.493 CVE-Einträge in 23 Tagen gegenüber knapp 4.000 pro Monat im Vorjahr, 1.415 Microsoft-CVEs an einem Dienstag, 129.000 verifizierte Funde aus einem einzigen KI-Programm: Das ist die neue Grundlast, und sie wird im November nicht sinken. Die Ausnutzung steigt langsamer, aber sie wird schneller, und sie wird von denselben Modellen gesteuert, die die Lücken finden.

Die unbequeme Wahrheit dahinter: Microsoft ist in dieser Lage sein eigener größter Gegner. Je mehr Lücken die KI findet, desto größer die Updates, und desto häufiger reißen sie Remote Desktop, Exchange oder das Domänenvertrauen mit. Schneller patchen hilft nur, wenn die Patches halten. Solange sie das nicht tun, bleibt für Windows ein Monat Abstand die bessere Antwort, und für alles am Perimeter das Gegenteil.

Mein Vorschlag für die kommende Woche: Nehmen Sie die Liste der aktiv angegriffenen Produkte aus dem Abschnitt oben, gleichen Sie sie mit Ihrem Bestand ab, und tragen Sie für jedes Gerät am Perimeter ein, wann es zuletzt gepatcht wurde und ob das Management-Interface von außen erreichbar ist. Das ist eine Stunde Arbeit. Die Angreifer brauchen für denselben Abgleich ein paar Minuten. Und tragen Sie daneben ein, wann der Oktober-Patchday auf Ihren Windows-Servern ansteht: nicht diese Woche.

Quellen:

• Microsoft Security: AI-driven, large-scale nation-state campaign using ARTEX enables supply chain compromise (21.10.2026)
• Microsoft: Evolving Windows vulnerability management to meet the speed of AI-powered discovery (09.07.2026)
• Microsoft Exchange Team: Exchange servers may become unstable after installation of October 2026 Windows updates (Oktober 2026)
• eMudhra: eMudhra to exit global SSL/TLS certificate business (22.10.2026)
• Mozilla Bugzilla: Bug 2083449 eMudhra (20.10.2026)
• Oracle: Security Alert Advisory CVE-2026-91403 (21.10.2026)
• LiteLLM: Security incident Oct 21 2026 (21.10.2026)
• Railway: Security Disclosure Wednesday, October 21st (21.10.2026)
• Pete Batard: GitHub-Issue #3064 zu Brian Krebs’ Rufus-Post (24.10.2026)
• Fortinet: Fortinet Releases Security Hardening Release for Multiple Products (21.10.2026)
• HPE: Security Bulletin HPESBNW05162 (22.10.2026)
• Palo Alto Networks: Advisory CVE-2026-0257 (13.05.2026)
• Siemens ProductCERT: SSA-580366 DLL Sideloading Vulnerability in Siemens Software Center (15.10.2026)
• Arista: Security Advisory 0199 (22.10.2026)
• PHP: Advisories GHSA-w8hw-w9fx-j79w und GHSA-6wmf-4rv5-p3rp (21.10.2026)
• PHP: Advisory zu CVE-2026-115560 (23.10.2026)
• Node.js: October 2026 Security Releases (21.10.2026)
• Imperva: Node2Shell: From Brotli Data to Remote Code Execution (22.10.2026)
• Aikido: Node2Shell evolves to HTTP2Shell (23.10.2026)
• GitLab: Patch Release 19.5.1 (21.10.2026)
• Ruby: Regexp compilation fixes related to GitLab’s CVEs (23.10.2026)
• NVD: CVE-2026-99999 (Oktober 2026)
• 0patch: Micropatches für CVE-2026-49179 (22.10.2026)
• 0patch: Micropatches für CVE-2026-69459 (14.10.2026)
• Straiker: Inside CARLIY0S (21.10.2026)
• Unit 42: Threat Brief CVE-2026-109618 / CVE-2026-109619 (aktualisiert 23.10.2026)
• Volexity: Chained exploitation of Ivanti Connect Secure zero-days (13.10.2026)
• BSI: Cyber-Sicherheitswarnung Cisco Secure Email Gateway 2026-297701-1032 (15.10.2026)
• BSI: Cyber-Sicherheitswarnung BeyondTrust Remote Support 2026-297832-1032 (16.10.2026)
• CERT-Bund: Warn- und Informationsdienst, Security Advisories (Stand 23.10.2026)
• CISA/FBI: SafePay Ransomware Advisory AA26-293A (20.10.2026)
• Capcom: IR-Mitteilung zu CAPCOM ID (22.10.2026)
• Pizza Hut Japan: Mitteilung zum unbefugten Zugriff (23.10.2026)
• Interpol: Cybercrime crackdown in Africa nets 1,462 arrests (22.10.2026)
• Lilith Wittmann: Zweimal gehackt: Wie 300 Gigabyte AfD-Daten abflossen (20.10.2026)
• Zeabur: October 2026 Security Incident (Oktober 2026)
• TeamUpdraft: Security incident October 2026 (aktualisiert 23.10.2026)
• GMO Internet: Notice regarding Onamae.com Desktop Cloud (22.10.2026)
• Stadt Eichstätt: Cyber-Attacke auf Stadtverwaltung (22.10.2026)
• Landkreis Cham: Cyberangriff auf Landratsamt Cham erfolgreich abgewehrt (13.10.2026)
• Anthropic: Cyber Verification Program (06.10.2026)
• Google Threat Intelligence Group: Vulnerability Discovery and Exploitation Trends in the AI Era (30.09.2026)
• Zero Day Initiative: The October 2026 Security Update Review (13.10.2026)
• Daniel Stenberg: Do minor curl vulnerabilities in the open (20.10.2026)
• Daniel Stenberg: Mythos finds a curl vulnerability (11.05.2026)
• FIRST: CVE Forecast 2026 (11.02.2026)
• VulnCheck: State of Exploitation 1H 2026 (28.07.2026)
• Northeastern University: Watching the Watchers (Studie, 2026)
• craci.com: CVE Publication Data, Auswertung des cvelistV5-Repositorys (Snapshot 24.10.2026)
• vulnerabilitydata.io: Microsoft Patch Tuesday, Monatszählung nach ZDI (Stand 22.10.2026)
• cvetodo.com: CISA KEV Monatsübersicht (Stand 24.10.2026)
• BleepingComputer: Microsoft October Windows Server updates cause Exchange issues (19.10.2026)
• BleepingComputer: Microsoft: Recent Windows updates may trigger Remote Desktop failures (Oktober 2026)
• BleepingComputer: Microsoft September updates cause RDS failures on Windows Server (September 2026)
• Microsoft Release Health: Windows 11, version 24H2 known issues (Stand Oktober 2026)
• Microsoft Support: KB5124010 (22.09.2026)
• BleepingComputer: Microsoft October 2026 Patch Tuesday fixes 1,411 flaws, 3 zero-days (13.10.2026)
• BleepingComputer: Hackers exploit Collabora RCE flaw to backdoor Nextcloud servers (15.10.2026)
• BleepingComputer: Citrix patches NetScaler SAML zero-day exploited in attacks (04.10.2026)
• BleepingComputer: Hackers exploit critical Atlassian flaw after public PoC release (07.10.2026)
• BleepingComputer: Abandoned Popcorn Time app exposed millions of devices to RCE attacks (23.10.2026)
• BleepingComputer: Ransomware attack disrupts Japan’s IDCF cloud used by govt clients (Oktober 2026)
• The Register: PHP2Shell exploit bypasses protections designed to stop remote code execution (22.10.2026)
• The Register: Google Cloud London outage (20.10.2026)
• The Register: Grocery giant Ahold Delhaize confirms cyberattack (19.10.2026)
• The Hacker News: Hackers Breach Enterprise Firewalls and VPNs, Exposing Over 70,000 Credentials (23.10.2026)
• The Hacker News: Attackers hijacked over 300 Tor exit relays (21.10.2026)
• The Hacker News: BlackX UEFI bootkit bypasses Secure Boot (23.10.2026)
• The Hacker News: Critical SonicWall SMA 1000 flaw (12.10.2026)
• The Hacker News: Popular WordPress SEO plugin Rank Math backdoored (19.10.2026)
• SecurityWeek: AI Platform Cairn Abused to Hack Over 100 Organizations (20.10.2026)
• Help Net Security: AOMEI Backupper compromised in supply chain attack (20.10.2026)
• Help Net Security: CVE-2026-0322, CVE-2026-76519, CVE-2026-105133/105134 exploited (15.10.2026)
• Huntress: AhsayCBS flaws exploited (08.10.2026, aktualisiert 12.10.)
• DIESEC: Zammad zero-day vulnerabilities CVE-2026-102489/102490 (06.10.2026)
• Greenbone: FortiMail vulnerability actively exploited (12.10.2026)
• IT-Connect: OVHcloud CLI binaries on GitHub were tampered with (Oktober 2026)
• INCIBE-CERT: Cyberattack on supermarket refrigeration systems in France (Oktober 2026)
• Phoronix: LKML New Trend Vulnerabilities (22.10.2026)
• Rescana: HPE Aruba AOS CVE-2026-79844 (Oktober 2026)
• heise: Phishing-Angriff auf Merz und viele andere: CDU-Mailkonto in Heilbronn gehackt (19.10.2026)
• Stuttgarter Zeitung/dpa: Störung der ING-App, kein Hinweis auf Hacker (20.10.2026)
• CBS News: Jared Kushner pushes back on report of hacked phone (Oktober 2026)
• ransomware.live: Coop Italia bei Qilin (23.10.2026)
• Niederlausitz aktuell: Verdacht auf Cyberangriff, Kreisverwaltung OSL weitgehend lahmgelegt (21.10.2026)
• ms-aktuell: PHP-Sicherheitslücke in Münster (22.10.2026)
• new-facts.eu: PHP-Sicherheitslücke, Homepage Landratsamt Biberach offline (22.10.2026)
• Security-Insider: BSI-Lagebericht IT-Sicherheit 2025 (November 2025)
• complexdiscovery: Inside Mandiant’s M-Trends 2026 findings (2026)
• Matthew Wong: Project Glasswing patching deficit in open source (Oktober 2026)
• Security Boulevard: Altman warns of escalating cyber crisis (24.10.2026)
• Borncity: „Black October” 2026: IT-Katastrophen der letzten Tage (22.10.2026)
• Borncity: Black October Teil 2 (23.10.2026)
• Borncity: Black October Teil 3 (24.10.2026)

Der Patchday ist keine 24 Stunden alt, da steht das erste bestätigte Problem im Release-Health-Dashboard. Microsoft hat laut BleepingComputer am 13. Oktober eingeräumt, dass Standardbenutzer nach den jüngsten Windows-Updates keine Remote-Desktop-Verbindung mehr zu bestimmten Windows-11-Rechnern aufbauen können. Die Verbindung bricht mit dem Fehler 0xC000000D ab, die Meldung lautet sinngemäß, das übergebene Token sei ungültig. Betroffen sind Hosts mit Windows 11 24H2, 25H2 und 26H2, auf denen das Vorschauupdate KB5124010 vom 22. September oder ein späteres Update installiert ist und die Sicherheitsfunktion „Administrator protection” aktiv ist.

Das Problem ist nicht die Lücke, sondern die Kombination. Administrator protection ist standardmäßig aus. Wer die Funktion nie angefasst hat, bekommt den Fehler nicht zu sehen. Wer aber Microsofts Sicherheits-Baselines nutzt, hat sie laut BleepingComputer mit dem Oktober-Sicherheitsupdate automatisch eingeschaltet bekommen. Und genau in dieser Konstellation, Baseline plus KB5124010 oder neuer, fällt der Remote-Desktop-Zugang für alle, die keine lokalen Administratoren sind.

Ich habe im September an dieser Stelle über Microsofts anhaltend schlechte Update-Qualität geschrieben. Dieser Fall ist eine Fortsetzung, und er ist ärgerlicher als die meisten, weil hier nicht ein Treiber oder ein Codec kaputtgegangen ist, sondern Microsofts eigene Sicherheitsempfehlung mit Microsofts eigenem Update kollidiert.

Was Administrator protection eigentlich tun soll

Administrator protection ist Microsofts Versuch, das alte Problem der Benutzerkontensteuerung zu lösen. Bisher bekam ein Mitglied der lokalen Administratorengruppe bei der Anmeldung ein geteiltes Token: ein Standard-Token für den Alltag und ein Admin-Token, das bei Bedarf über den UAC-Dialog aktiviert wurde. Beide Tokens hingen am selben Profil, und Schadsoftware, die im Benutzerkontext lief, konnte sich auf verschiedenen Wegen an das Admin-Token heranarbeiten.

Laut Microsofts Dokumentation ändert Administrator protection diese Architektur grundlegend. Der Benutzer bleibt dauerhaft ohne Rechte. Braucht ein Vorgang Administratorrechte, muss er sich über Windows Hello oder Passwort ausdrücklich dafür authentifizieren. Windows erzeugt dann über ein verstecktes, systemverwaltetes und profilgetrenntes Konto ein isoliertes Admin-Token, gibt es nur dem anfragenden Prozess und vernichtet es, sobald der Prozess endet. Es gibt keine automatischen Elevations mehr, und das Admin-Profil ist vom normalen Profil getrennt.

Das ist, ohne Ironie, eine gute Idee. Just-in-time-Elevation mit Profiltrennung ist das, was Sicherheitsleute seit Jahren fordern. Die Funktion lief seit Oktober 2025 als Vorschau in Windows 11 24H2 und 25H2 und ist laut Learn seit dem August-Vorschauupdate KB5120998 allgemein verfügbar, abgeschaltet per Default, aktivierbar über Intune, CSP, Gruppenrichtlinie oder die Windows-Sicherheit-App.

Microsoft listet in derselben Dokumentation auch, wo die Funktion ausdrücklich nicht hingehört: auf Windows 365 Cloud PCs, auf Azure-Virtual-Desktop-Sitzungshosts, auf Windows Server, auf Geräten mit Hyper-V, bei Roaming-Profilen und bei Anwendungen, die Dateien über Profilgrenzen hinweg teilen. Remote-Anmeldungen auf Cloud PCs und AVD-Hosts werden nicht unterstützt. Für klassisches Remote Desktop auf einem Windows-11-Client steht dort nichts. Das wäre der Moment gewesen, in dem Microsoft die Kombination hätte testen müssen.

Wie der Fehler zustande kommt

Der Fehlercode 0xC000000D entspricht dem NT-Status STATUS_INVALID_PARAMETER: Eine Funktion hat ein Argument oder eine Token-Struktur bekommen, die sie nicht validieren konnte. Microsoft hat die Ursache nicht im Detail erklärt. Nach der Architekturbeschreibung liegt der Schluss aber nahe, dass die Anmeldung über Remote Desktop ein Token in der alten Form erwartet, das es unter Administrator protection nicht mehr gibt, und die Sitzung deshalb beim Aufbau abgewiesen wird.

Bemerkenswert ist, wen es trifft: Standardbenutzer, nicht Administratoren. Das ist die Gruppe, die von Administrator protection eigentlich unberührt bleiben sollte, weil sie nie ein Admin-Token hatte. Ein Mitarbeiter, der sich per RDP auf seinen Arbeitsplatzrechner im Büro schaltet, hat mit der neuen Elevation-Logik nichts zu tun. Trotzdem ist er derjenige, der ausgesperrt wird.

Die Zeitlinie macht den Fall besonders unglücklich. KB5124010 ist vom 22. September. Die Oktober-Sicherheitsupdates vom 13. Oktober enthalten denselben Code, weil Vorschauupdates in den nächsten Patchday einfließen. Gleichzeitig schalten die Oktober-Baselines Administrator protection ein. Wer also Baselines nutzt und den Patchday pünktlich eingespielt hat, bekommt beide Hälften des Problems am selben Tag. Microsoft hat das Known Issue laut WindowsForum am 13. Oktober eröffnet und noch am selben Vormittag auf „Mitigated” gesetzt, also auf entschärft, nicht auf behoben.

Der Workaround und was er kostet

Eine Korrektur gibt es nicht. Microsoft arbeitet laut BleepingComputer an einem Fix für ein künftiges Update, ohne Termin. Bis dahin lautet die Empfehlung: Administrator protection auf den betroffenen Remote-Desktop-Hosts vorübergehend abschalten. Microsoft rät ausdrücklich davon ab, KB5124010 oder das Oktober-Update zu deinstallieren, weil damit auch die Sicherheitsfixes des Patchdays und mehrere Fehlerbehebungen aus dem Vorschauupdate verschwinden würden, darunter die Korrektur für die im September kaputtgegangene Vertrauensstellung zur Domäne.

Der Schalter sitzt in der Richtlinie „Benutzerkontensteuerung: Typ des Administratorgenehmigungsmodus konfigurieren” unter Computerkonfiguration, Windows-Einstellungen, Sicherheitseinstellungen, Lokale Richtlinien, Sicherheitsoptionen. Dort von „Administratorgenehmigungsmodus mit Administrator protection” zurück auf den Legacy-Modus. In Intune heißt die Einstellung im Settings Catalog „User Account Control Type Of Admin Approval Mode” unter „Local Policies Security Options”, per CSP ist es UserAccountControl_TypeOfAdminApprovalMode. In allen Fällen braucht es einen Neustart, Microsoft betont das in der Dokumentation ausdrücklich.

Der Preis ist offensichtlich. Wer die Baseline übernommen hat, hat damit eine Sicherheitsverbesserung eingeschaltet, die er jetzt auf einem Teil der Flotte wieder zurücknehmen muss. Und wer nicht sauber arbeitet, nimmt sie gleich überall zurück, weil das einfacher ist als eine eigene Richtlinie nur für die RDP-Hosts. Ich halte das für die eigentliche Gefahr an diesem Fall: nicht die ausgesperrten Benutzer, sondern die Workarounds, die in drei Monaten niemand mehr zurückbaut.

Die Gegenposition: Baselines sind keine Pflicht

Fairerweise: Microsoft hat Administrator protection nicht heimlich auf alle Geräte geschoben. Die Funktion ist auf einer normalen Installation aus und bleibt aus. Wer sie über die Baseline bekommen hat, hat sich für die Baseline entschieden, und Microsoft sagt seit Jahren, dass Baselines vor dem Ausrollen in der eigenen Umgebung getestet werden müssen. Man kann argumentieren, dass genau das hier passiert ist: Eine Organisation testet die neue Baseline, stellt den RDP-Fehler fest, nimmt die Einstellung für ihre Hosts heraus, fertig. Das ist der vorgesehene Prozess.

Das Argument trägt, aber nur halb. Eine Baseline ist Microsofts eigene Empfehlung, was sicher ist. Wenn diese Empfehlung mit Microsofts eigenem Vorschauupdate kollidiert, das drei Wochen vorher erschienen ist, dann hat niemand bei Microsoft die beiden Dinge zusammen getestet. Und das Vorschauupdate heißt Vorschau, weil es genau diese Fehler vorher finden soll. KB5124010 war drei Wochen lang in der Fläche, bevor es Teil des Pflichtupdates wurde. Das Problem ist erst aufgefallen, als die Baseline den Schalter umlegte. Vorschau und Baseline sind bei Microsoft offenbar zwei Teams, die nicht miteinander reden.

Warum das kein Einzelfall ist

Remote Desktop ist für Microsoft seit anderthalb Jahren ein wunder Punkt. Im März 2025 musste ein Fehler per Known Issue Rollback entschärft werden, der RDP- und RDS-Verbindungen nach den Januar-Updates abbrechen ließ. Im September 2026 brachte das Sicherheitsupdate KB5124008 laut Microsofts Release-Health-Seite Remote Desktop Services auf Windows Server zum Stillstand: Verbindungen brachen nach wenigen Minuten ab, Server hingen bei „Bitte warten Sie auf die Remotedesktopkonfiguration”, dazu reagierten MMC, der RDS-Lizenzierungsdiagnostiker und der Explorer nicht mehr. Microsoft brauchte ein Out-of-Band-Update (KB5129195) am 14. September, um das zu reparieren. Derselbe Patchday brachte eine verlorene Vertrauensstellung zur Domäne für Credential-Guard-geschützte Computerkonten, USB-Audio-Ausfälle, verschwundene Plan9-Freigaben in Hyper-V-Linux-VMs und schwarze Bildschirme nach der Anmeldung auf AVD-Hosts. Der AC-3-Codec-Fehler aus KB5124010 steht seit dem 2. Oktober als „Confirmed” ohne Lösung im Dashboard.

Das Muster ist immer dasselbe: Microsoft schiebt Sicherheitsänderungen mit tieferen Eingriffen ins System, Machine Identity Isolation, Administrator protection, Secure-Boot-Zertifikate, und die Nebenwirkungen zeigen sich erst im Betrieb. Ich bezweifle nicht, dass diese Änderungen nötig sind. Ich bezweifle, dass monatliche Pakete mit 1.400 Schwachstellen und gleichzeitigen Architekturänderungen noch so getestet werden, wie es früher der Fall war. Die Zero Day Initiative hat beim Oktober-Patchday angemerkt, dass die Zahl der Lücken schneller wächst als die der tatsächlichen Angriffe. Für die Update-Qualität gilt das Umgekehrte: Die Zahl der Known Issues wächst schneller als die der Lösungen.

Fazit

Wer Microsofts Sicherheits-Baselines nutzt und Windows-11-Rechner als Remote-Desktop-Hosts für Standardbenutzer betreibt, muss jetzt handeln. Nicht durch Deinstallation des Oktober-Updates, sondern durch eine eigene, eng begrenzte Richtlinie, die Administrator protection nur auf diesen Hosts auf den Legacy-Modus zurücksetzt. Diese Richtlinie gehört mit Datum und Grund dokumentiert, damit sie zurückgebaut wird, sobald Microsoft den Fix liefert. Wer Baselines nicht nutzt und die Funktion nie eingeschaltet hat, ist nicht betroffen und sollte sie auch jetzt nicht einschalten, bis die Lösung da ist.

Und Microsoft? Vorschauupdates und Baselines müssen zusammen getestet werden, bevor beide im selben Monat auf dieselben Geräte treffen. Sonst wird aus jedem „secure by default” ein „locked out by default”.

Quellen:

• Microsoft Learn: Administrator protection (Stand 23.09.2026),
• Microsoft: Windows 11, version 24H2 known issues and notifications (Stand 09.10.2026),
• Microsoft Support: KB5124010 (OS Builds 26300.9550, 26200.9550, 26100.9550) Preview (22.09.2026, Known Issue vom 13.10.2026),
• BleepingComputer: Microsoft: Recent Windows updates may trigger Remote Desktop failures (14.10.2026),
• BleepingComputer: Microsoft: September updates cause RDS failures on Windows Server (09/2026),
• WindowsForum: Windows 11 RDP 0xC000000D: Fix Non-Admin Logins Blocked by Administrator Protection (14.10.2026, KI-gestützt)

um zweiten Mal in Folge bricht Microsoft den eigenen Rekord: Der Patchday vom 13. Oktober 2026 schließt je nach Zählweise zwischen 1.407 und 1.415 Schwachstellen. Dustin Childs von der Zero Day Initiative hat das in seinem Review treffend eingeordnet: Dieser eine Monat übersteigt das Volumen jedes einzelnen Jahres, das Microsoft je veröffentlicht hat. Zum Vergleich: Das gesamte Jahr 2023 brachte es auf 914 CVEs. Vierstellige Patch-Zahlen mit sechsstelligen CVE-Nummern sind damit Realität, und ich sehe nichts, was diesen Trend in den nächsten Monaten umkehren würde.

Die Ursache ist dieselbe wie im September. Microsoft findet mit KI-gestützter Schwachstellensuche deutlich mehr Fehler als früher, und die Zero Day Initiative weist darauf hin, dass die Zahl der tatsächlich ausgenutzten Zero-Days nicht mitwächst: 15 Microsoft-Zero-Days von Januar bis Oktober 2026 gegenüber 17 im gleichen Zeitraum 2023. Die Entdeckung skaliert schneller als die Ausnutzung. Wer nach reiner CVE-Zahl priorisiert, verbrennt Ressourcen an den falschen Stellen.

Das heißt nicht, dass dieser Monat harmlos wäre. Es gibt einen aktiv ausgenutzten Zero-Day, der die Mark-of-the-Web-Schutzfunktion umgeht und für den laut Action1 bereits funktionsfähiger Exploit-Code existiert, eine kritische Remotecodeausführung in den Active Directory Domain Services, sechs kritische DHCP-Server-Lücken und eine Exchange-RCE, die technisch wurmfähig ist. Dazu kommt ein Stichtag, an dem gleich mehrere Produkte aus dem Support fallen. Dieser Überblick zeigt, was zuerst auf die Server gehört und was bis zur nächsten Rollout-Welle warten kann.

Die nackten Zahlen im Überblick

Wie jeden Monat weichen die Gesamtzahlen je nach Quelle ab, diesmal deutlicher als sonst. BleepingComputer zählt 1.411 Schwachstellen und schließt dabei 348 weitere aus, die Microsoft bereits früher im Monat für Azure-Dienste, Mariner, Dataverse und Partner Center veröffentlicht hatte. Tenable kommt auf 1.407 CVEs, davon 69 kritisch, 1.337 wichtig und eine mit niedriger Einstufung. Action1 nennt 1.409 Patches und 80 kritische Lücken, zählt dafür nur zwei Zero-Days. Die Zero Day Initiative sieht 1.415 neue CVEs. Günter Born gibt in seiner Security Update Summary 70 kritische an, ebenso BleepingComputer: 57 davon sind Remotecodeausführungen, 11 Rechteausweitungen und 2 Spoofing-Lücken. Ich verwende im Folgenden die BleepingComputer-Zahlen, weil sie sich auf die am Patchday selbst veröffentlichten Lücken beschränken. Die Abweichung bei den kritischen Lücken (69 bis 80) dürfte daran liegen, ob Azure- und Mariner-Einträge mitgezählt werden.

Nach Kategorien verteilt sich das Paket laut BleepingComputer ungefähr so: 677 Rechteausweitungen (Elevation of Privilege), 317 Remotecodeausführungen (RCE), 254 Fälle von Informationsoffenlegung, 73 Denial-of-Service-Lücken, 40 Umgehungen von Sicherheitsfunktionen und 28 Spoofing-Schwachstellen. Tenable rechnet das in Anteile um: 47,9 Prozent Rechteausweitungen, 22,3 Prozent RCE.

Für die Rollout-Planung ist die Produktverteilung interessanter. Tenable führt 301 betroffene Produkte und Komponenten auf. Ganz vorn liegt Excel mit 69 CVEs, gefolgt von der DNS-Server-Rolle mit 52, dem Windows-Kernel mit 46, dem Windows Installer mit 38 und dem Win32-Kernel-Subsystem mit 36. SharePoint bringt es auf 34, SQL Server auf 22. Dass die DNS-Server-Rolle auf Platz zwei steht, sollte jeden aufhorchen lassen, der Domänencontroller betreibt, denn dort läuft der DNS-Dienst in aller Regel.

Drei Zero-Days gibt es diesen Monat: einer wird aktiv angegriffen, zwei weitere waren vor dem Patch öffentlich bekannt. Die Zero Day Initiative hat zusätzlich 59 Lücken als wurmfähig identifiziert, also netzwerkbasiert ohne Authentifizierung und ohne Benutzerinteraktion ausnutzbar. Diese Zahl ist für mich die eigentliche Schlagzeile des Monats.

Risiko-Kohorten: Microsofts Antwort auf die eigene Flut

Neu in diesem Monat ist ein Versuch Microsofts, die Masse handhabbar zu machen. Unter dem Titel Using risk cohorts to prioritize security updates gruppiert das MSRC verwandte Schwachstellen in 15 Kohorten. Die größten für Oktober: 136 Lücken in Dateisystemen, Speicher und Backup, 135 in Office-Dokumenten und Mail-Clients, 131 in Grafik-, Medien- und Content-Verarbeitung, 109 an den Rechtegrenzen von Kernel und Core sowie 103 in Installation, Bereitstellung und Update-Diensten. Microsoft stellt klar, dass die Gruppen experimentell sind, keine offiziellen Kategorien darstellen und die Bewertung einzelner CVEs nicht ersetzen. Eine PDF-Zuordnung aller Oktober-CVEs zu ihren Kohorten liegt bei.

Dustin Childs merkt dazu trocken an, dass man so etwas früher Security Bulletin nannte: eine Komponente, mehrere CVEs, ein Dokument. Action1 geht in seinem Sysadmin-Brief einen ähnlichen Weg und sortiert nach dem, was man betreibt: Identitätsinfrastruktur zuerst (AD FS, AD, DNS, DHCP), dann SharePoint, dann Endgeräte, dann Geschäftsserver, dann die Appliances am Netzrand. Ich sehe das ähnlich. Der Kohorten-Ansatz ist richtig, kommt aber spät, und ob er in Patch-Management-Werkzeugen ankommt, muss sich erst zeigen. Für eine kleine Verwaltungs-IT ohne eigenes Security-Team ist jede Vorsortierung hilfreich, solange sie nicht dazu verführt, die Kohortengröße mit Gefährlichkeit zu verwechseln.

Die kritischsten Brennpunkte im Detail

Mehrere Lücken betreffen Server-Rollen, die in praktisch jeder Windows-Domäne laufen: Active Directory, DHCP, DNS, Remote Desktop Gateway. Dazu kommt der aktiv ausgenutzte Zero-Day auf den Clients. Es folgt die technische Aufarbeitung der Patches, die ich diesen Monat zuerst einspielen würde.

1. Windows Shell Security Feature Bypass (CVE-2026-96951)

CVSS-Score: 8,8

SCHWERWIEGENDKEIT: Hoch (==aktiv ausgenutzt==)

BEDROHUNG: Security Feature Bypass (Umgehung von Mark of the Web)

EXPLOITS: Dies ist die einzige nachweislich aktiv ausgenutzte Schwachstelle dieses Monats. Microsoft hat keine Angaben dazu gemacht, wer sie entdeckt hat oder wie die Angriffe im Detail ablaufen. Action1 führt die Exploit-Code-Reife als „Functional”, es existiert also funktionsfähiger Exploit-Code, nicht nur ein theoretischer Nachweis. Tenable ordnet die Lücke als dritte in freier Wildbahn ausgenutzte Windows-Shell-Lücke des Jahres 2026 ein, nach CVE-2026-21510 im Februar und CVE-2026-32202 im April. Die Zero Day Initiative verweist darauf, dass Angreifer seit 2024 immer wieder Wege um Mark of the Web herum gefunden haben; diesmal ist es die Shell statt SmartScreen, das Ergebnis ist dasselbe.

TECHNISCHE ZUSAMMENFASSUNG: Ursache ist eine unzureichende Neutralisierung von Sonderzeichen in Befehlen, also eine Command Injection (CWE-77) in der Windows-Shell. Ein Angreifer schickt dem Opfer eine präparierte Datei, etwa per E-Mail, Messenger oder über eine Webseite. Öffnet der Nutzer den Anhang oder Link, umgeht die Datei die Mark-of-the-Web-Kennzeichnung (MOTW), mit der Windows aus dem Internet stammende Dateien markiert und die nachgelagerte Schutzmechanismen wie SmartScreen oder die geschützte Office-Ansicht auslöst.

AUSNUTZBARKEIT: Der Angriff erfolgt über das Netzwerk, braucht keine Rechte, aber eine Benutzerinteraktion. Das ist in der Praxis keine Hürde: Phishing mit Dateianhang ist der häufigste Erstzugang überhaupt. Betroffen sind laut Action1 Windows 10 ab Version 1607, Windows 11 von 23H2 bis 26H1, Windows Server 2012 R2 bis 2025 sowie Visual Studio 2026. Ein Kommentator bei Born weist zu Recht darauf hin, dass MOTW ohnehin nur auf NTFS- und ReFS-Laufwerken existiert; auf FAT- oder exFAT-Datenträgern gibt es die Kennzeichnung gar nicht.

AUSWIRKUNGEN AUF DAS GESCHÄFT: MOTW ist der erste Baustein der Verteidigung gegen Dokument-Malware. Fällt er, laufen Makro-Sperren und Warndialoge ins Leere, und ein Anhang aus einer Bewerbungs- oder Rechnungsmail verhält sich wie eine lokal erstellte Datei. Für Verwaltungen mit hohem Mailaufkommen aus unbekannten Quellen, also für praktisch jedes Bürgerbüro, ist das der gefährlichste Patch des Monats.

WORKAROUND: Microsoft nennt keinen. Flankierend: Attack Surface Reduction Rules gegen Office-Kindprozesse, Application Control und ein EDR, das verdächtige Prozessketten nach dem Öffnen von Anhängen erkennt. Wer Anhänge aus dem Internet ohnehin in einer Sandbox öffnet, hat einen Puffer.

DRINGLICHKEIT: Höchste. Auf alle Clients, zuerst auf die, die externe Mails empfangen. Das Update erfordert einen Neustart.

2. .NET Framework Security Feature Bypass (CVE-2026-108398)

CVSS-Score: 8,8

SCHWERWIEGENDKEIT: Hoch (öffentlich bekannt)

BEDROHUNG: Security Feature Bypass (Umgehung von Windows Defender Application Control)

EXPLOITS: Die Lücke war vor Verfügbarkeit des Patches öffentlich bekannt. Entdeckt und gemeldet hat sie James Forshaw von Google Project Zero. Aktive Angriffe sind nicht bekannt, Microsoft stuft die Ausnutzung aber als „eher wahrscheinlich” ein.

TECHNISCHE ZUSAMMENFASSUNG: Ursache ist ein unsicherer Suchpfad (Untrusted Search Path, CWE-426) im .NET Framework. Ein authentifizierter Angreifer mit niedrigen Rechten platziert eine präparierte .NET-Assembly auf dem System und registriert sie so, dass ein geschützter Prozess sie lädt. Gelingt das, umgeht der Code die Richtlinien von Windows Defender Application Control (WDAC) und läuft im Kontext des geschützten Prozesses. Eine Benutzerinteraktion ist nicht erforderlich, der Scope ist „changed”, der Angreifer verlässt also die Sicherheitsgrenze der verwundbaren Komponente.

AUSNUTZBARKEIT: Lokaler Zugriff mit einem gültigen Konto genügt. Relevant ist die Lücke vor allem dort, wo WDAC die zentrale Verteidigungslinie ist, etwa auf gehärteten Verwaltungsarbeitsplätzen oder Admin-Workstations. Wichtig für den Rollout: Die .NET-Framework-Updates sind eigene Pakete außerhalb des kumulativen Windows-Updates. Action1 nennt für Windows 10 21H2 die KBs 5127689, 5127690, 5127692 und 5127694, für Windows Server 2022 KB5127693, für Windows Server 2025 KB5127690 und für Windows 11 26H1 KB5127691.

AUSWIRKUNGEN AUF DAS GESCHÄFT: Wer Application Control einsetzt, verlässt sich darauf, dass nur freigegebener Code läuft. Diese Lücke höhlt genau diese Garantie aus. Als zweiter Baustein nach einem Phishing-Erstzugang ist sie eine saubere Möglichkeit, Schutzmaßnahmen stillzulegen.

WORKAROUND: Microsoft nennt keinen. Darüber hinaus die WDAC-Richtlinien auf überbreite Freigaben für .NET-Pfade prüfen.

DRINGLICHKEIT: Hoch, zumal Forshaw erfahrungsgemäß Details veröffentlicht, sobald der Patch verfügbar ist.

Der dritte Zero-Day, CVE-2026-92707, ist ein Denial-of-Service in MessagePack-CSharp (CVSS 5,3, moderat), der von dritter Seite veröffentlicht wurde und den Microsoft jetzt in sein Release aufgenommen hat. Action1 zählt ihn nicht mit, daher die „zwei Zero-Days” dort. Für die meisten Umgebungen ist das ein Entwicklerthema, kein Server-Notfall.

3. Active Directory Domain Services Remote Code Execution (CVE-2026-70229)

CVSS-Score: 8,1

SCHWERWIEGENDKEIT: ==Kritisch==

BEDROHUNG: Remote Code Execution (RCE / wurmfähig)

EXPLOITS: Aktive Angriffe sind nicht bekannt. Microsoft stuft die Ausnutzung als „eher wahrscheinlich” ein. Die Zero Day Initiative führt die Lücke in ihrer Liste wurmfähiger Schwachstellen.

TECHNISCHE ZUSAMMENFASSUNG: Ursache ist laut Action1 eine fehlerhafte Autorisierung (Incorrect Authorization, CWE-863) in AD DS. Ein nicht authentifizierter Angreifer schickt ein präpariertes Paket an den AD-DS-Dienst und erreicht damit Codeausführung auf dem Domänencontroller. Die Angriffskomplexität ist hoch: Es müssen bestimmte Netzwerkkonfigurationen und Timing-Bedingungen zusammenkommen. Vier weitere AD-DS-Lücken (CVE-2026-88165 als RCE, dazu drei Denial-of-Service-Fälle) wurden parallel geschlossen.

AUSNUTZBARKEIT: Netzwerkbasiert, ohne Anmeldung, ohne Interaktion. Der Angreifer muss den Domänencontroller erreichen können, was in flachen Verwaltungsnetzen ohne Segmentierung jeder kompromittierte Client kann. Betroffen sind Windows Server 2012 bis 2025 inklusive Server Core sowie die Clients, die den Code mitbringen.

AUSWIRKUNGEN AUF DAS GESCHÄFT: Codeausführung auf dem Domänencontroller ist der Worst Case, ohne Umweg. Der Angreifer kontrolliert damit das Verzeichnis, alle Konten und über Gruppenrichtlinien jedes Gerät in der Domäne.

WORKAROUND: Keiner. Domänencontroller zuerst patchen und den Zugriff auf AD-Ports aus Client-Segmenten über Firewall-Regeln auf das Nötige beschränken.

DRINGLICHKEIT: Kritisch. Mit CVE-2026-96951 zusammen der Patch, den ich keinen Tag liegen lassen würde.

4. Windows DHCP Server Remote Code Execution (CVE-2026-96934)

CVSS-Score: 9,8

SCHWERWIEGENDKEIT: ==Kritisch==

BEDROHUNG: Remote Code Execution (RCE / wurmfähig)

EXPLOITS: Aktive Angriffe sind nicht bekannt. Insgesamt sind diesen Monat sechs DHCP-Server-Lücken wurmfähig (CVE-2026-96934, CVE-2026-88117, CVE-2026-88119, CVE-2026-88120, CVE-2026-96320, CVE-2026-69830), fünf davon stuft Microsoft als kritisch ein. CVE-2026-96934 ist mit 9,8 die schwerste; CVE-2026-88117, CVE-2026-88119, CVE-2026-88120 und CVE-2026-88171 erreichen jeweils 8,1, verlangen aber das Gewinnen einer Race Condition.

TECHNISCHE ZUSAMMENFASSUNG: CVE-2026-96934 ist ein Use-after-free-Fehler. Ein nicht authentifizierter Angreifer sendet präparierte Pakete an den DHCP-Server-Dienst und erreicht Codeausführung oder bringt den Dienst zum Stillstand. Die entscheidende Einschränkung, die nur Action1 nennt: Die Lücke betrifft DHCP-Server im Failover-Modus. Wer DHCP-Failover für Hochverfügbarkeit konfiguriert hat, hat damit genau die Konfiguration, die der Angriff braucht. Die drei 8,1er-Lücken sind ebenfalls Use-after-free-Fehler mit Race Condition, CVE-2026-88171 ein Double Free. Ergänzend gibt es eine kritische RCE im DHCP-Client (CVE-2026-70250, CVSS 8,8, Use-after-free plus Race Condition), die laut Action1 Windows Server 2012 bis 2025 sowie Windows 10 1607 und 1809 betrifft.

AUSNUTZBARKEIT: DHCP ist per Definition ein Dienst, der unauthentifizierte Anfragen aus dem lokalen Netz beantwortet. Jedes Gerät im selben Segment ist ein möglicher Absender, inklusive eines mitgebrachten Notebooks am Besprechungsraum-Port. Die Client-Lücke braucht einen Angreifer im benachbarten Netz.

AUSWIRKUNGEN AUF DAS GESCHÄFT: Wie im September läuft der DHCP-Server-Dienst in kleinen Verwaltungen häufig direkt auf einem Domänencontroller, und DHCP-Failover zwischen zwei DCs ist ein verbreitetes Setup. Dann ist eine DHCP-RCE eine DC-RCE. Die Client-Lücke wiederum macht aus einem Rogue-DHCP-Server im Gästenetz ein Werkzeug zur Übernahme von Servern.

WORKAROUND: Patchen. DHCP-Server vom Domänencontroller trennen, wo das noch nicht geschehen ist. DHCP-Snooping auf den Switches aktivieren, um Rogue-Server zu blockieren; das hilft gegen die Client-Lücke. Failover abzuschalten ist laut Action1 eine Option, aber nur nach Abwägung der Verfügbarkeit.

DRINGLICHKEIT: Kritisch, unmittelbar nach den Domänencontrollern. Zuerst die Failover-Paare identifizieren.

5. Microsoft Exchange Server Remote Code Execution (CVE-2026-70571)

CVSS-Score: 8,1

SCHWERWIEGENDKEIT: ==Kritisch==

BEDROHUNG: Remote Code Execution (RCE / Remotecodeausführung)

EXPLOITS: Aktive Angriffe sind nicht bekannt, Microsoft bewertet die Ausnutzung aber als „eher wahrscheinlich”. Die Zero Day Initiative nennt die Lücke technisch wurmfähig, hält eine tatsächliche Wurmwelle aber für unwahrscheinlich: Microsoft schreibt, der Angreifer brauche tiefes Wissen über die Zielumgebung, und ein Erfolg sei nicht garantiert.

TECHNISCHE ZUSAMMENFASSUNG: Es handelt sich um einen stapelbasierten Pufferüberlauf. Ein nicht authentifizierter Angreifer schickt eine präparierte E-Mail an einen verwundbaren Exchange-Server. Die Mail löst einen internen Prozess zur Inhaltskonvertierung aus, und in diesem Prozess kommt es zur Codeausführung. Eine Benutzerinteraktion ist nicht erforderlich, weil der Server die Mail selbst verarbeitet.

AUSNUTZBARKEIT: Jeder Exchange-Server, der Mails aus dem Internet annimmt, ist erreichbar. Das ist der Sinn eines Mailservers. Die Einschränkung „tiefes Wissen über die Zielumgebung” senkt die Wahrscheinlichkeit eines Massenangriffs, nicht die eines gezielten.

AUSWIRKUNGEN AUF DAS GESCHÄFT: Codeausführung auf dem Mailserver bedeutet Zugriff auf jedes Postfach, jeden Anhang, jeden Kalender. Dazu kommt im selben Update eine Spoofing-Lücke mit CVSS 9,3 (CVE-2026-70279), ebenfalls als „eher wahrscheinlich” eingestuft: Ein Klick eines Administrators auf einen präparierten Link reicht, um Organisationsdaten lesen oder ändern zu können. Zwei Rechteausweitungen mit CVSS 8,8 (CVE-2026-96940, CVE-2026-77910) runden das Bild ab.

WORKAROUND: Das Exchange-SU einspielen (siehe eigener Abschnitt). Admin-Konten für Exchange nicht zum Surfen oder Mailen verwenden; das entschärft die Spoofing-Lücke.

DRINGLICHKEIT: Hoch bis kritisch für jeden On-Premises-Exchange, der aus dem Internet erreichbar ist.

6. Microsoft SharePoint Elevation of Privilege (CVE-2026-102866)

CVSS-Score: 8,1

SCHWERWIEGENDKEIT: ==Kritisch==

BEDROHUNG: Elevation of Privilege (Authentifizierung als beliebiger Benutzer)

EXPLOITS: Aktive Angriffe sind nicht bekannt. Die Zero Day Initiative hebt die Lücke aus den 34 SharePoint-CVEs dieses Monats heraus, weil sie die einzige kritische und die einzige ohne Authentifizierung ausnutzbare ist.

TECHNISCHE ZUSAMMENFASSUNG: Ursache ist eine fehlerhafte Prüfung kryptografischer Signaturen (CWE-347). Wer ein gültiges Proof-Token eines bestimmten Benutzers in die Hände bekommt, kann es verändern, an den Server schicken und sich als dieser Benutzer authentifizieren. Die Angriffskomplexität ist hoch, weil laut Action1 bestimmte Protokolleinstellungen vorliegen müssen. Betroffen ist ausschließlich SharePoint Server Subscription Edition, das Update ist KB5002927.

AUSNUTZBARKEIT: Die Hürde ist das Token. Die ZDI merkt an, dass es dafür mehrere Wege gibt. Wer sich an die SharePoint-Vorfälle der letzten Monate erinnert, bei denen Machine Keys von On-Premises-Servern gestohlen wurden, weiß, wie realistisch das ist.

AUSWIRKUNGEN AUF DAS GESCHÄFT: SharePoint ist in vielen Verwaltungen das Dokumentenmanagement. Ein Angreifer, der sich als Sachgebietsleiter authentifizieren kann, liest, was dieser lesen darf, und das ist in der Regel viel.

WORKAROUND: Patchen. SharePoint-Server grundsätzlich nicht direkt aus dem Internet erreichbar machen.

DRINGLICHKEIT: Hoch für alle SharePoint-SE-Installationen.

Weitere kritische Schwachstellen im Überblick

Die Liste der kritischen Netzwerk-RCEs ist diesen Monat lang. Microsoft QUIC bringt zwei Lücken mit CVSS 9,8 (CVE-2026-100219, CVE-2026-105016), die neben Windows auch .NET 8 bis 11 und Visual Studio betreffen. Der PostScript-Druckertreiber hat ebenfalls zwei (CVE-2026-70147, CVE-2026-70153), ausgelöst durch einen präparierten Druckauftrag über das Netz, dazu eine dritte mit 8,8 (CVE-2026-108467), für die ein authentifizierter Benutzer mit niedrigen Rechten genügt. Das Message Queuing hat eine 9,8er-RCE (CVE-2026-100202), Windows Text Shaping ebenfalls (CVE-2026-97814). Im Remote Desktop Gateway sind drei Lücken wurmfähig, darunter die kritische CVE-2026-70187, ein Use-after-free im Gateway-Dienst; wer RD Gateway als Homeoffice-Zugang betreibt, sollte das vor dem Wochenende erledigen. Hyper-V erhält zwei kritische RCEs (CVE-2026-102214, CVE-2026-105733), bei denen ein Angreifer mit niedrigen Rechten in einer VM Code auf dem Host ausführt, die zweite auch aus verschachtelter Virtualisierung heraus. Der Network Policy Server, in vielen Verwaltungen die RADIUS-Instanz für WLAN und VPN, bringt vier wurmfähige Lücken. Die Windows Deployment Services bekommen erneut eine kritische RCE (CVE-2026-88174), der Network Device Enrollment Service eine kritische RCE durch schwache Authentifizierung (CVE-2026-69802). Und im DNS-Server steckt neben den beiden wurmfähigen Lücken eine weitere kritische RCE (CVE-2026-96113), für die Microsoft keinen CVSS-Score veröffentlicht hat; Action1 führt sie trotzdem in der Kategorie „Same Day Deployment”.

Zwei Lücken verdienen aus Verwaltungssicht einen eigenen Satz. CVE-2026-108457 ist eine kritische RCE in Windows PDF (CVSS 8,1): Ein präparierter PDF-Anhang per E-Mail löst sie auf Systemen aus, die PDF-Inhalte automatisch verarbeiten, ohne dass jemand die Datei öffnet. Wer einen digitalen Posteingang mit automatischer Dokumentenerfassung betreibt, hat hier ein Thema. Und CVE-2026-108471, eine kritische Rechteausweitung in den VBS-Enklaven, betrifft laut Action1 ausschließlich Windows Server 2019 und Windows 10 1809, also genau die Server-Generation, die in Kommunen noch am längsten läuft.

Bemerkenswert sind mehrere Lücken, die nur als „wichtig” eingestuft sind, aber CVSS 9,8 erreichen: Failover Cluster (CVE-2026-88102) und der zugehörige virtuelle Treiber (CVE-2026-96864), PowerShell (CVE-2026-83578) und OpenSSH für Windows (CVE-2026-97816). Die Einstufung „wichtig” sagt hier wenig über das Risiko. Die SQL-Server-RCE CVE-2026-65674 (CVSS 8,8, Deserialisierung, authentifiziert) hat laut ZDI die beste Ausnutzbarkeitsbewertung aller 22 SQL-Lücken des Monats; Fachverfahren mit eigenem SQL-Backend sind damit betroffen.

Office ist diesmal selbst eine Kohorte. Fünf Outlook-RCEs erreichen CVSS 9,8 (CVE-2026-70242, CVE-2026-70291, CVE-2026-88156, CVE-2026-97016, CVE-2026-97749), und bei allen fünf reicht laut Action1 die Anzeige der Mail im Lesebereich; kein Klick, kein Anhang. Dazu kommt eine Word-RCE mit 9,8 (CVE-2026-70300), ausgelöst durch ein WordPerfect-Dokument mit verknüpfter Grafik im Vorschaufenster, und eine PowerPoint-RCE mit 9,8 (CVE-2026-88178), die über eine an Office Online Server eingereichte Präsentation zündet. Die rund zwei Dutzend kritischen Excel-RCEs mit CVSS 8,8 brauchen dagegen alle das Öffnen der Datei; das Vorschaufenster ist dort laut Microsoft kein Angriffsvektor. Zwei Dinge zum Rollout: Office Online Server bekommt KB5002928, und für Office LTSC for Mac 2021 und 2024 waren die Updates am Patchday noch nicht verfügbar. Die Office-Updates laufen separat vom kumulativen Windows-Update und werden in Verwaltungen, die Office per Click-to-Run verteilen, gern vergessen.

Tenable hebt außerdem eine Reihe als „eher wahrscheinlich” eingestufter Rechteausweitungen hervor, darunter fünf im Windows-Update-Stack (CVE-2026-69673, CVE-2026-69718, CVE-2026-69733, CVE-2026-69783, CVE-2026-69882, jeweils 7,8), WebDAV (CVE-2026-102217, 8,8) und eine RCE im Background Intelligent Transfer Service (CVE-2026-88159, 8,8).

Abseits von Microsoft war der Oktober nicht ruhiger. Adobe hat laut ZDI 11 Bulletins mit 174 CVEs veröffentlicht; die dringendsten betreffen ColdFusion (32 CVEs, bis CVSS 10,0, Pre-Auth-RCE-Profil), Commerce und Experience Manager. Aktiv ausgenutzt wurden im Oktober Zero-Days bei Citrix NetScaler (CVE-2026-88779), Fortinet FortiMail (CVE-2026-104286), Ivanti Connect Secure und laut Action1 ein Authentifizierungs-Bypass in Cisco Identity Services Engine (CVE-2026-76460); eine kritische Atlassian-Lücke (CVE-2026-21589) und eine SonicWall-SMA1000-SSRF wurden jeweils kurz nach Veröffentlichung eines Proof-of-Concept angegriffen. SAP schließt 20 Lücken, darunter eine mit Höchstwertung im Cloud SDK für Python. Action1 bringt es auf den Punkt: Die Appliances am Netzrand gehören in denselben Patch-Plan wie Windows, nicht in den danach.

Support-Ende: Der 13. Oktober als Stichtag

Dieser Patchday ist gleichzeitig ein Lifecycle-Termin, und zwar ein umfangreicher. Microsoft hat in seinem Message Center bestätigt, dass Windows 11 24H2 in den Editionen Home und Pro sowie Windows 10 Enterprise LTSB 2016 mit dem Oktober-Update ihr letztes Sicherheitsupdate erhalten haben. Die Enterprise- und Education-Editionen von 24H2 bleiben bis zum 12. Oktober 2027 unterstützt. Microsoft empfiehlt den Umstieg auf Windows 11 26H2, das seit September 2026 als Enablement Package ausgerollt wird und für Consumer bis Oktober 2029 unterstützt ist.

Mit dem November-Patchday folgt die nächste Welle: Windows 11 23H2 Enterprise, Education und IoT Enterprise erhalten ab dann keine Sicherheitsupdates mehr. Wer in der Verwaltung noch 23H2-Geräte hat, weil der Hardware-Rollout hinterherhinkt, hat genau einen Patchday Zeit.

Auf der Server-Seite endet laut Tenable am 13. Oktober das letzte ESU-Jahr für Windows Server 2012 und 2012 R2. Die Oktober-Pakete KB5126835 und KB5126836 sind damit die letzten Updates für diese Systeme, in keinem Programm gibt es danach noch Patches. Windows Server 2022 wechselt am selben Tag vom Mainstream- in den Extended Support, der bis zum 14. Oktober 2031 läuft; Sicherheitsupdates gibt es weiterhin, Funktionsupdates nicht. Dazu fallen Office 2021, Office LTSC 2021 und Skype for Business LTSC 2021 aus dem Support. Für Verwaltungen, die Office 2021 wegen der Kaufmodell-Lizenzierung gewählt haben, ist das die ungemütlichste Nachricht des Tages.

Exchange Server: letztes Update für 2016 und 2019

Microsoft hat am Patchday das Oktober-SU für Exchange Server veröffentlicht, Details stehen im Techcommunity-Beitrag. Bereitgestellt wird es für Exchange Server Subscription Edition RTM (KB5128895), Exchange Server 2019 CU14 (KB5128897) und CU15 (KB5128896) sowie Exchange Server 2016 CU23 (KB5128898). Für 2016 und 2019 ist der Zugang weiterhin an das kostenpflichtige ESU-Programm der Phase 2 gebunden. Exchange Online ist bereits geschützt; dort beschränkt sich der Handlungsbedarf auf verbliebene On-Premises-Server und Workstations mit Exchange-Verwaltungstools. Laut Action1 erfordert das SU keinen Neustart, und bekannte Probleme sind nicht verzeichnet.

Günter Born hält in seinem Exchange-Beitrag fest, dass dies das letzte Update für Exchange Server 2016 und 2019 ist; ab November erscheinen Sicherheitsupdates nur noch für die Subscription Edition. Wer jetzt noch auf 2016 oder 2019 steht, betreibt ab dem nächsten Patchday einen Mailserver ohne Patches. Das ist keine Option, die ich in einer Verwaltung verantworten würde.

Das SU schließt die oben beschriebene RCE CVE-2026-70571 sowie laut ZDI-Liste sechs weitere Exchange-Lücken, darunter die Spoofing-Lücke CVE-2026-70279 (CVSS 9,3) und zwei Rechteausweitungen mit 8,8. Zusätzlich werden zwei Fehler behoben: Veröffentlichte Kalender im ICS-Format lieferten für Kalender-Anwendungen einen HTTP-500-Fehler (KB5126672), und die ContentEngine konnte wegen fehlender koreanischer WordBreaker-Regeldateien in einen Deadlock laufen (KB5130098). Born erwähnt bekannte Probleme des Updates, ohne sie im Detail zu nennen, Action1 verzeichnet keine; die FAQ im Techcommunity-Beitrag ist vor der Installation trotzdem Pflichtlektüre. Wie immer gilt: SU aus einer administrativen Eingabeaufforderung installieren und danach den Exchange Health Checker laufen lassen.

Handlungsempfehlungen für Ihre IT-Infrastruktur

Beginnen Sie mit den Domänencontrollern. Die AD-DS-RCE, die DHCP-Server-Lücken und die 52 DNS-Server-CVEs treffen alle dieselben Maschinen, und ein kompromittierter DC ist das Ende der Domäne. Prüfen Sie dabei zuerst, ob Ihr DHCP im Failover-Modus läuft, denn das ist die Voraussetzung für die 9,8er-Lücke. Diese Systeme gehören an den Anfang der ersten Rollout-Welle, noch vor den Clients.

Direkt danach kommt der aktiv ausgenutzte MOTW-Bypass auf die Clients. Die Lücke wird nachweislich angegriffen, Exploit-Code existiert, und der Angriffsweg ist der Dateianhang in der Mail, also der Alltag jeder Poststelle. Ich würde diesen Patch nicht bis zum regulären Client-Zyklus liegen lassen, sondern ihn als eigenen Durchlauf auf alle Geräte bringen, die externe Mails empfangen. Die Outlook-Lücken, die im Lesebereich zünden, gehören in denselben Durchlauf.

Vergessen Sie die Nebenschauplätze nicht. Exchange, SharePoint, SQL Server und Office haben eigene Updates, das .NET Framework ebenfalls. RD Gateway, NDES und Network Policy Server sind in kleinen Verwaltungen oft einzelne Server, die niemand auf dem Schirm hat, bis sie fehlen. Die ZDI-Liste mit 59 wurmfähigen Lücken ist ein guter Abgleich gegen die eigene Server-Inventur.

Führen Sie den Rollout trotz der Dringlichkeit in Wellen durch. Bei 1.400 Schwachstellen ändert sich viel Code gleichzeitig, und die September-Updates haben mit kaputten Always-On-VPN-Verbindungen, defekter Dateiversionsverlauf-Sicherung und USB-Audio-Ausfällen gezeigt, was dann passiert. Ich habe das in der Patchday-Nachlese September 2026 zusammengefasst. Testgruppe zuerst, dann die Fläche, dann prüfen, ob Anmeldung, Fernzugriff, Mail und DNS nach dem Neustart noch funktionieren.

Nutzen Sie den Stichtag für eine Inventur. Server 2012, Windows 11 24H2 Home/Pro, Office 2021, Exchange 2016/2019: Alles, was heute das letzte Update bekommen hat, muss auf eine Liste mit Ablöseterminen. Nicht in drei Monaten, sondern diese Woche.

Neuerungen abseits der Sicherheit

Die Oktober-Updates für Windows 11 bringen die Funktionen des September-Vorschauupdates KB5124010 in die Fläche. BleepingComputer hat die vollständige Liste zusammengestellt. Die aus Sicherheitssicht interessanteste Änderung betrifft ausgerechnet den Vorschaubereich des Datei-Explorers: Für aus dem Web heruntergeladene HTML-Dateien gibt es einen neuen Button „Trotzdem Vorschau anzeigen”, andere Dateitypen wie PDFs werden ab sofort automatisch in der Vorschau gerendert. Im selben Monat, in dem ein MOTW-Bypass aktiv angegriffen wird und eine Windows-PDF-RCE bei automatischer Verarbeitung zündet, finde ich das eine fragwürdige Komfortentscheidung. Wer die Vorschau per Gruppenrichtlinie abschaltet, hat dieses Thema nicht.

Darüber hinaus: Emoji 17.0, ein Tipps-Widget, eine Einstellung zum Umbelegen der Copilot-Taste auf Rechts-Strg oder Kontextmenü, die Barrierefreiheitsoption „Apps maximiert öffnen”, neue Touchpad-Gesten, ein Remote-Management-Plug-in für WinRE für MDM-Anbieter, deaktivierte Windows-Tastenkürzel im Kiosk-Modus und eine lange Liste von Bluetooth-Fixes, darunter ein Absturz mit Fehlercode 0x139 beim Streamen. Die PC-zu-PC-Migration ist entfernt worden. Als bekanntes Problem bleibt die seit September bestehende Störung bei USB-Audio-Class-1.0-Geräten; Microsoft hat sie nur teilweise behoben.

Für Windows Server 2025 bringt KB5126646 die Quick Machine Recovery, standardmäßig deaktiviert und per Gruppenrichtlinie zuschaltbar, sowie ML-KEM als Post-Quantum-Schlüsselaustausch in TLS 1.3, cURL 8.21.0 und eine Korrektur für Netlogon-Secure-Channel-Verbindungen zu älteren Domänencontrollern. Alle Server-Versionen erhalten eine ReFS-Überwachung für extern angeschlossene Datenträger (Auditing an, Erzwingung aus, Details in KB5130741) und die automatische Härtung der AD-FS-DKM-Container-ACL gegen CVE-2026-56155, abschaltbar über RemediateDkmAcl. Server 2019 und 2022 bekommen das erweiterte NTLM-Auditing, das zeigt, wer NTLM warum und wo noch verwendet. Für den anstehenden NTLMv1-Abschied ist das die Vorbereitung, die man jetzt starten sollte. Dazu kommen neue Zeitzonen für Manitoba sowie die dauerhafte Sommerzeit in British Columbia und Alberta ab November 2026. Born merkt für Server 2022 und 2025 an, dass WSUS bei Fehlern keine Details zurückmeldet.

Update-Pakete für Windows-Clients und -Server

Die folgende Übersicht fasst die kumulativen Updates dieses Patchdays für die noch unterstützten Windows-Versionen zusammen. Alle Pakete sind kumulativ und enthalten sämtliche Sicherheitsfixes bis zum Patchday.

Zu beachten: Windows 10 22H2 ist seit Oktober 2025 aus dem regulären Support; Sicherheitsupdates gibt es nur im ESU-Programm, das Microsoft für Privatanwender kostenlos bis Oktober 2027 verlängert hat. Die .NET-Framework-Updates (siehe CVE-2026-108398) sind eigene Pakete und müssen separat freigegeben werden.

Ausgewählte kritische Sicherheitsupdates vom Patch Tuesday im Oktober 2026

Die folgende Tabelle listet eine Auswahl der wichtigsten Schwachstellen dieses Monats. Die vollständige Liste aller rund 1.400 behobenen CVEs finden Sie im Microsoft Security Update Guide sowie in den Gesamtübersichten bei BleepingComputer, der Zero Day Initiative und bei Action1.

Hinweis: Diese Tabelle stellt eine kuratierte Auswahl dar und erhebt keinen Anspruch auf Vollständigkeit. Maßgeblich ist stets der offizielle Microsoft Security Update Guide.

Microsoft hat eine Drei-Tage-Regel für Windows-Updates ausgerufen: Wer Qualitätsupdates länger zurückstellt, handelt fahrlässig, denn Angreifer bauen mit KI in Stunden Exploits. Das sagt der Hersteller, dessen September-Updates Terminalserver stilllegten, Domänenvertrauen kappten und VPN-Verbindungen im Kreis laufen ließen. Man muss diese Chuzpe fast bewundern.

Jörn Walter hat das beim Windows Papst höflich als zwei Wahrheiten beschrieben, die nicht zusammenpassen wollen. Ich bin weniger höflich. Hier fordert der Brandstifter kürzere Anfahrtszeiten für die Feuerwehr.

Was die Microsoft-Patch-Empfehlung wörtlich sagt

Die Regel stammt aus keinem Sicherheitsstandard, sondern aus einem Werbevideo von dreieinhalb Minuten. Am 7. Juli 2026 erklärte Jeremy Chapman, Microsoft 365 Director, bei Microsoft Mechanics die neuen Werte: Rückstellung unter drei Tagen, Deadline null oder ein Tag, Kulanzzeit höchstens zwei Tage. Sein erster Satz: „Intentionally delaying security patches might be a common practice, but it shouldn’t be”.

Warum diese Praxis so verbreitet ist, erwähnt er nicht. Es wäre auch unangenehm geworden. Admins verzögern Updates nicht aus Faulheit, sondern aus Erfahrung, und diese Erfahrung hat einen Lieferanten.

Fairerweise: Chapman schränkt ein. Die Empfehlung gilt für verwaltete Geräte, bei denen man es sich leisten kann, und er spricht über Clients, Edge und Microsoft 365 Apps. Server kommen im Video nicht vor. Rein zufällig lautet die Lösung Autopatch, Intune und Hotpatch, also drei Produkte aus dem eigenen Haus. Das Problem wird mitgeliefert, die Lösung gibt es im Abo.

Microsoft-Update-Qualität: Die KI findet, der Kunde testet

Den Grundsatztext dazu schrieb Tom Gallagher vom Microsoft Security Response Center in seiner Notiz zum Mai-Patchday. Die Patchdays werden weiter wachsen, weil Microsofts eigene KI immer mehr Lücken findet. Und dann steht dort tatsächlich: „every update makes our customers safer”. Jedes. Auch das vom 8. September.

Lesenswert ist der Text trotzdem, vor allem zwischen den Zeilen. Gallagher kündigt an, dass Kunden sich auf häufigere Out-of-Band-Updates einstellen sollen, die sofortige Aufmerksamkeit verlangen. Notfallpatches sind damit kein Betriebsunfall mehr, sie stehen im Fahrplan.

Die Rechnung dahinter ist simpel. Die KI findet Lücken im Akkord, die Entwickler schreiben Fixes im Akkord, und irgendwo dazwischen müsste jemand testen. Raten Sie, wer das ist. Er sitzt nicht in Redmond und steht auf keiner Gehaltsliste von Microsoft.

Patchday September 2026: 974 Fixes und ein Scherbenhaufen

Zuerst die Leistung, denn die gab es. Microsoft zählt 974 CVEs, davon bleiben nach der Auswertung von Malwarebytes 964 für Kunden. Dazu kommen zwei aktiv ausgenutzte Zero-Days, die SecurityWeek als CVE-2026-85880 in ALPC und CVE-2026-81963 im Windows Update Stack benennt. Die Details stehen in meinem Beitrag zum September-Patchday.

Ja, Sie haben richtig gelesen. Eine der beiden ausgenutzten Lücken steckte in der Komponente, die Updates installiert. Bessere Pointen schreibt kein Kabarettist.

Und nun die Kollateralschäden, in der Reihenfolge ihres Auftretens:

• 8. September: Patchday. Auf Windows Server 2019, 2022 und 2025 fallen wenige Stunden nach der Installation die Remote Desktop Services aus.
  11. September: Microsoft räumt die Probleme mit RDS und Hyper-V ein. Bis dahin hieß es offiziell, es gebe keine bekannten Probleme. Meine Patchday-Nachlese stammt vom selben Tag.
  14. September: elf Out-of-Band-Updates reparieren den Patchday, für Server nur über den Update-Katalog.
  16. September: Microsoft bestätigt, dass Windows 11 nach KB5124008 die Vertrauensstellung zur Domäne verliert.
• Um den 24. September: Always On VPN bleibt unter Windows 11 beim Verbinden hängen. BleepingComputer zitiert den Workaround, einen Termin für die Korrektur gibt es nicht.
• Seit 24. September: KB5002907 räumt gekaufte Office-2019-Installationen ab.
  29. September: Windows 11 26H2 erscheint mit drei bekannten Problemen. Immerhin diesmal vorab bekannt.

Das ist ein einziger Monat. Kein Angreifer war beteiligt.

Betatester für Windows-Updates: Ihr neuer Nebenjob

Legen Sie jetzt die Drei-Tage-Regel über diese Liste. Wer am 8. September begonnen und brav nach drei Tagen die Breite erreicht hätte, wäre am 11. fertig gewesen. Also genau an dem Tag, an dem Microsoft zum ersten Mal zugab, dass etwas nicht stimmt. Der Hersteller verlangt von Ihnen ein Tempo, das er bei der eigenen Fehlerbestätigung nicht schafft.

Walter schlägt vor, das Testen zu verdichten: ein Pilotring unter echter Last, 24 bis 48 Stunden, dann die Breite. Technisch hat er recht, der RDS-Fehler wäre so aufgefallen. Schauen Sie sich aber an, was da passiert. Sie stellen die Testumgebung, die Testnutzer und das Monitoring, und Sie melden den Fehler. Früher nannte man das Qualitätssicherung und bezahlte Leute dafür.

Ich nenne es beim Namen. Der Pilotring ist die Alpha, die Breite ist die Beta, und die Lizenzgebühr ist das Eintrittsgeld. Dass Sie für das Privileg bezahlen, ist der eigentliche Geniestreich des Geschäftsmodells.

Die Gegenposition: Wo Microsoft leider recht hat

Jetzt der ärgerliche Teil. Die Bedrohung ist nicht erfunden. Zwei Zero-Days in einem Monat sind real, die Zeit bis zum Exploit schrumpft wirklich, und einen kaputten Patch kann man deinstallieren, einen übernommenen Domänencontroller nicht.

Gallaghers Hausaufgabenliste ist auch vernünftig: Angriffsfläche reduzieren, Identitäten absichern, segmentieren, nach Exposition priorisieren statt nach CVE-Zahl. Erkennen und Eindämmen seien inzwischen so wichtig wie das Patchen selbst, schreibt er. Stimmt. Er meint damit Angreifer. Es gilt genauso für seine Updates.

Microsoft hat also in der Sache recht und macht es sich trotzdem bequem. Die Dringlichkeit ist echt, die Qualität fehlt, und die Differenz zahlen Sie mit Nachtschichten.

Patchmanagement in der Kommune: Schneller, aber nicht blind

In einer Kommunalverwaltung patcht kein Team, sondern ein Mensch, manchmal anderthalb. Der Terminalserver trägt die Fachverfahren, und wenn er steht, steht das Rathaus. Für diese Umgebung hat in Redmond niemand ein Video gedreht.

Was ich für vertretbar halte:

1. Clients ohne Sonderrolle schnell patchen, mit einem kleinen Pilotring ab Tag eins, in dem mindestens ein VPN-Nutzer sitzt.
2. Aus dem Internet erreichbare Systeme und alles mit aktiv ausgenutzten Lücken innerhalb von drei Tagen, auch wenn es wehtut.
3. Je einen Server pro Rolle ab Tag eins testen, bei RDS mit echten An- und Abmeldungen über mehrere Stunden.
4. Den Rest im Wartungsfenster innerhalb einer Woche, nachdem das Release-Health-Dashboard und die einschlägigen Blogs gelesen sind.

Schreiben Sie das auf. Der IT-Grundschutz-Baustein OPS.1.1.3 verlangt zeitnahes Einspielen und vorheriges Testen, und ein Ringmodell mit festen Tagen ist dafür der Nachweis. Es erklärt auch, warum der Terminalserver am Donnerstag noch ungepatcht war: weil er am Freitag noch lief.

Fazit

Microsoft hat einen Gegner, der gefährlicher ist als jede Ransomware-Gruppe, und er sitzt im eigenen Haus. Die Drei-Tage-Regel wäre eine gute Idee, wenn die Updates drei Tage Vertrauen verdienten. Bis dahin ist sie eine Risikoverlagerung vom Hersteller zum Kunden, hübsch verpackt als Sicherheitsempfehlung.

Am 13. Oktober ist wieder Patchday. Prüfen Sie vorher, ob Sie ohne RDP an Ihre Server kommen, wer einen hängenden Terminaldienst innerhalb einer Stunde bemerkt und ob Ihre Deinstallation geübt ist. Sie werden gebraucht. Als Tester.

Quellen:

• Microsoft Mechanics / Tech Community, „Deploy Windows updates to counter AI-discovered threats” (07.07.2026);
• MSRC, Tom Gallagher, „A note on this month’s Patch Tuesday” (12.05.2026);
• SecurityWeek (08.09.2026); Malwarebytes (09.2026);
• BleepingComputer zu Always On VPN (09.2026);
• Der Windows Papst, Jörn Walter (02.10.2026);
• eigene Beiträge auf blog.grams-it.com (09.09., 11.09., 15.09., 17.09., 27.09., 30.09.2026)

In der Nachlese zum September-Patchday hatte ich den Verlust der Domänen-Vertrauensstellung nach KB5124008 noch als offenen Punkt geführt: reproduzierbar, aber ohne Erklärung und ohne offizielle Stellungnahme. Beides gibt es jetzt. Microsoft hat das Problem am 16. September 2026 als Known Issue ins Release-Health-Dashboard aufgenommen, die Ursache benannt und einen Workaround veröffentlicht. Die Kurzfassung vorab: Betroffen ist nur, wer die Funktion Machine Identity Isolation irgendwann einmal konfiguriert hat und dessen Domänencontroller nicht auf der Funktionsebene Windows Server 2025 laufen. Für alle anderen ist dieser Beitrag Hintergrundlektüre. Für die Betroffenen ist er eine Anleitung, die man vor dem nächsten Client-Neustart gelesen haben sollte.

Was passiert

Das Muster ist in allen Berichten dasselbe. Windows 11 24H2 oder 25H2, KB5124008 wird installiert, der Rechner startet neu, und ab dem nächsten Anmeldeversuch lehnt das System gültige Domänenkonten ab. Entweder erscheint die klassische Meldung, dass die Vertrauensstellung zwischen Arbeitsstation und Domäne fehlgeschlagen ist, oder Windows behauptet schlicht, Benutzername oder Kennwort seien falsch. Beides stimmt nicht: Das Kennwort ist korrekt, die Maschine hat nur ihren sicheren Kanal zum Domänencontroller verloren.

Zwei Details helfen bei der Abgrenzung von anderen Anmeldeproblemen. Erstens funktioniert die Anmeldung mit zwischengespeicherten Anmeldeinformationen weiterhin, solange der Rechner offline ist. Wer das Netzwerkkabel zieht, kommt also auf den Desktop. Zweitens zeigt das Ereignisprotokoll auf betroffenen Systemen gehäuft Kerberos-Fehler, gefolgt von Rückfällen auf NTLM und Netlogon-Fehlern.

Der Administrator Alex Turner, der das Problem im Microsoft-Q&A-Forum dokumentiert hat, konnte es sauber reproduzieren: Update deinstallieren und Vertrauensstellung reparieren, alles läuft; Update erneut installieren, Fehler kehrt zurück. Auf Reddit meldete ein Kollege 11 von rund 256 Windows-11-25H2-Geräten betroffen, ein anderer sprach von sämtlichen 25H2-Arbeitsplätzen in seinem Netz. Dass die Quote so unterschiedlich ausfällt, erklärt sich mit der Ursache.

Die Ursache: Machine Identity Isolation

Domänenmitglieder authentifizieren sich gegenüber dem Domänencontroller mit ihrem Computerkonto. Dessen Geheimnis liegt traditionell als LSA-Secret in der Registry, und genau das war Microsoft schon länger ein Dorn im Auge: Wer lokaler Administrator ist, kann es auslesen, und seit gMSA, dMSA und Kerberos Armoring auf Computerkonten aufbauen, ist ein ausgelesenes Maschinengeheimnis mehr wert als früher.

Mit Windows Server 2025 hat Microsoft deshalb Credential-Guard-geschützte Computerkonten eingeführt, gesteuert über die Einstellung Machine Identity Isolation (MII). Sie kennt drei Zustände:

Im Enforcement-Modus gibt es das Geheimnis also nur noch innerhalb der virtualisierungsbasierten Sicherheit. Jede Maschinenauthentifizierung läuft dann über Credential Guard, und die Domänencontroller müssen mit diesem Verfahren umgehen können. Das tun sie nach Microsofts Angabe nur ab der Domänenfunktionsebene Windows Server 2025.

Der Haken hat eine Vorgeschichte. Bereits im April 2025 hatte Microsoft die Funktion mit KB5055523 in Windows Server 2025 und Windows 11 24H2 vorübergehend abgeschaltet, weil sie mit der Kerberos-Kennwortrotation für Computerkonten kollidierte. Seither stand die Einstellung in vielen Umgebungen zwar noch in Gruppenrichtlinien, Intune-Baselines oder der Registry, tat aber nichts. Genau das hat KB5124008 geändert. Microsoft formuliert es so: Das Update aktiviere die Durchsetzung nicht selbst, sorge aber dafür, dass Windows vorhandene oder per Richtlinie ausgerollte MII-Einstellungen wieder berücksichtige.

Anders gesagt: Eine Konfiguration, die seit anderthalb Jahren wirkungslos war, wurde über ein monatliches Sicherheitsupdate scharf geschaltet, ohne Hinweis in den Release Notes. Und wo die Domänencontroller die Funktionsebene 2025 nicht haben, was in der öffentlichen Verwaltung und im Mittelstand der Regelfall sein dürfte, läuft die Maschinenauthentifizierung gegen eine Wand. Das erklärt auch die unterschiedlichen Trefferquoten: Wer MII über eine gezielte Gruppenrichtlinie auf einige Geräte verteilt hatte, verliert genau diese; wer die Einstellung in einer breiten Sicherheits-Baseline hatte, verliert alle.

Ein Randaspekt aus dem Q&A-Thread: Microsoft nennt im Workaround nur den Wert 2. Mindestens ein Administrator berichtet jedoch, dass bei ihm der Wert 1 (Audit) stand und das Zurücksetzen auf 0 ebenfalls nötig war. Wer prüft, sollte also jeden Wert ungleich 0 als verdächtig behandeln.

Wer betroffen ist

Microsoft grenzt den Kreis klar ein. Betroffen sind ausschließlich Client-Systeme:

• Windows 11 24H2 und 25H2 mit KB5124008 (Build 26100.9445 bzw. 26200.9445)
• Windows 11 26H1 mit KB5124012

und auch dort nur unter zwei gleichzeitig erfüllten Bedingungen: MII ist auf dem Gerät konfiguriert, und die Domänencontroller laufen unterhalb der Funktionsebene Windows Server 2025.

Nicht betroffen sind Windows Server, die Domänencontroller selbst, die AD-Replikation, reine Entra-ID-Geräte, Arbeitsgruppenrechner und alle Clients, auf denen MII nie gesetzt wurde. Wer die Einstellung nicht kennt und nie eine Security-Baseline von Microsoft oder einem Drittanbieter ungeprüft übernommen hat, ist mit hoher Wahrscheinlichkeit außen vor.

Zuerst prüfen, bevor etwas kaputtgeht

Bevor Sie am Workaround arbeiten, lohnt sich ein Blick auf die Flotte, idealerweise bevor weitere Clients nach dem Update neu starten. Zwei Registry-Pfade sind relevant, einer für die effektive Einstellung, einer für die Richtlinienvorgabe:

powershell

$paths = 'HKLM:\SYSTEM\CurrentControlSet\Control\Lsa',
         'HKLM:\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard'

foreach ($p in $paths) {
    $v = (Get-ItemProperty -Path $p -Name MachineIdentityIsolation -ErrorAction SilentlyContinue).MachineIdentityIsolation
    '{0}: {1}' -f $p, $(if ($null -eq $v) { 'nicht gesetzt' } else { $v })
}

Alles, was nicht auf „nicht gesetzt” oder 0 steht, ist ein Kandidat. Das Skript lässt sich per Invoke-Command, über die RMM-Lösung oder als Inventarabfrage im Patch-Management gegen alle Windows-11-Clients fahren.

Die zweite Frage ist die Domänenfunktionsebene:

powershell

(Get-ADDomain).DomainMode

Steht dort etwas anderes als Windows2025Domain, hat MII in Ihrer Umgebung nichts verloren, egal ob das Update schon installiert ist oder nicht.

Ob der sichere Kanal eines konkreten Rechners noch intakt ist, verrät Test-ComputerSecureChannel -Verbose oder klassisch nltest /sc_verify:<Domäne>.

Der Workaround

Microsofts Anweisung ist im Kern eine Regel: MII muss auf demselben Weg deaktiviert werden, auf dem es aktiviert wurde. Wer die Einstellung über Intune (Policy CSP DeviceGuard/MachineIdentityIsolation) verteilt hat, setzt sie dort auf deaktiviert. Wer sie per Gruppenrichtlinie gesetzt hat, findet sie unter Computerkonfiguration → Administrative Vorlagen → System → Device Guard → Virtualisierungsbasierte Sicherheit aktivieren, Unterpunkt Machine Identity Isolation Configuration, und stellt dort auf Deaktiviert um. Ein Praxishinweis aus dem Q&A-Thread: Bei mindestens einem Administrator hat die Gruppenrichtlinie den Wert auf den Clients nicht zuverlässig zurückgesetzt, er musste zusätzlich die Registry direkt anfassen.

Wurde MII direkt in der Registry gesetzt, oder greift die Richtlinie nicht, geht es so:

1. Registry sichern.
2. In beiden Pfaden den Wert MachineIdentityIsolation auf 0 setzen:

   HKLM\SYSTEM\CurrentControlSet\Control\Lsa\MachineIdentityIsolation
   HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard\MachineIdentityIsolation

3. Neustart.
4. Sicheren Kanal reparieren, in einer administrativen PowerShell:

powershell

   Test-ComputerSecureChannel -Repair -Credential (Get-Credential)

Abgefragt wird ein Konto, das die Maschine in der Domäne reparieren darf.

Achtung beim Abtippen aus Microsofts Support-Eintrag: Dort steht hinter dem Befehl ein überzähliges Hochkomma, das PowerShell mit einer Fehlermeldung quittiert. Günter Born hat darauf hingewiesen; die Zeile oben ist die korrekte Fassung.

Das Henne-Ei-Problem in der Praxis: Der Rechner nimmt keine Domänenanmeldung mehr an, aber Sie brauchen eine Anmeldung, um den Wert zu ändern. Der Weg, der sich im Q&A-Thread bewährt hat: Netzwerk trennen (Dock abziehen, WLAN aus), mit einem Domänenkonto über den Anmeldecache einloggen, Netzwerk wieder verbinden, dann per Fernwartung oder mit dem lokalen Administratorkonto aus LAPS den Registry-Wert setzen, reparieren, neu starten. Ohne LAPS oder ein anderes verwaltetes lokales Admin-Konto wird es an dieser Stelle unangenehm.

Warum das Deaktivieren selbst gefährlich sein kann

Hier liegt der Teil, der in vielen Kurzmeldungen fehlt. Microsofts eigene Dokumentation warnt: War MII im Enforcement-Modus aktiv und wird dann deaktiviert, kann das Gerät sich nicht mehr authentifizieren und muss aus der Domäne genommen und neu aufgenommen werden. Das gilt, weil im Enforcement-Modus das LSA-Secret gelöscht wurde; nach dem Abschalten ist schlicht kein Geheimnis mehr da, mit dem sich die Maschine ausweisen könnte.

Ein Administrator im Q&A-Thread hat das schmerzhaft bestätigt: Nach dem Umstellen von Audit bzw. Enforcement auf Deaktiviert verloren in seiner Umgebung flächendeckend Geräte die Vertrauensstellung, darunter auch solche, auf denen KB5124008 nie installiert war. Wer die Einstellung per Gruppenrichtlinie auf alle Clients gleichzeitig zurückdreht, riskiert also, das Problem zu verbreitern statt es zu lösen.

Die Konsequenz für die Reihenfolge:

• Nicht die Richtlinie blind auf „Deaktiviert” stellen und auf den nächsten Neustart warten.
• Erst prüfen, welche Geräte MII tatsächlich effektiv hatten und ob sie den Enforcement-Modus schon durchlaufen haben (Wert 2 in HKLM\SYSTEM\...\Lsa).
• Für diese Geräte den Repair-Schritt fest einplanen, und für den Fall, dass Test-ComputerSecureChannel scheitert, Domänenaustritt und Neubeitritt mit lokalem Admin-Konto vorbereiten.
• Den Rollout von KB5124008 an Clients mit MII-Konfiguration anhalten, bis die Einstellung bereinigt ist.

Was Microsoft noch plant

Microsoft will die Durchsetzung von Machine Identity Isolation in einem kommenden Windows-Update vorübergehend wieder aussetzen, während an der Funktion weitergearbeitet wird. Einen Termin gibt es nicht; der Oktober-Patchday am 13. Oktober ist die naheliegende Vermutung. Wer den Workaround anwendet, sollte die Deaktivierung als Dauerzustand betrachten, bis Microsoft die Unterstützung für ältere Funktionsebenen dokumentiert. Die Einstellung im Oktober einfach wieder auf 2 zu setzen, wie es ein Kollege im Q&A-Thread vorhat, ist ohne Domänencontroller auf 2025-Niveau kein Plan, sondern eine Wiederholung.

Bleibt die Einordnung. Das ist bereits das zweite Mal, dass Microsoft dieselbe Funktion per Monatsupdate an- oder abschaltet, ohne dass es in den Release Notes stünde. Im April 2025 wurde sie still deaktiviert, im September 2026 still reaktiviert, und beide Male haben Administratoren die Folgen ausbaden dürfen. Eine Funktion, die Microsoft selbst nur für die Funktionsebene 2025 freigibt, hätte auf Clients gegen ältere Domänencontroller nie greifen dürfen. Dass die Prüfung fehlt, ist kein Bug im eigentlichen Sinne, sondern eine Designentscheidung, und die liegt in Redmond. Für die Zeit bis zum Fix gilt der Hinweis, der nach diesem Patchday ohnehin auf jedem Tisch liegen sollte: Erst die Flotte inventarisieren, dann patchen.

Quellen

• Microsoft Release Health: Domain-joined devices might lose their secure trust relationship with the domain (16.09.2026)
• Microsoft Learn: Credential Guard protected machine accounts
• Microsoft Q&A: KB5124008 (26200.9445) breaks machine secure channel / domain trust

Erinnern Sie sich an den September-Patchday? Knapp tausend geschlossene Lücken, der größte Patch Tuesday aller Zeiten, zwei aktiv ausgenutzte Zero-Days, das ganze angetrieben von Microsofts neuer KI-gestützter Schwachstellensuche. Ein Kraftakt. Man möchte fast applaudieren.

Dann spielt man die Updates ein und stellt fest, dass die Kur schlimmer ist als die Krankheit. Innerhalb von 48 Stunden meldeten Administratoren weltweit dasselbe Muster: Terminalserver, die nach ein paar Stunden einfrieren. Windows-11-Clients, die ihre Vertrauensstellung zur Domäne verlieren und sich nicht mehr anmelden lassen. Schwarze Bildschirme. BitLocker-Fehler bei jedem Neustart. Rechner, die nach dem Secure-Boot-Update gar nicht mehr hochkommen. Man hat 966 Löcher gestopft und dafür vier neue Baustellen aufgerissen. Willkommen zur Nachlese.

Remote Desktop Services: gepatcht und tot

Das prominenteste Problem trifft ausgerechnet die Remotedesktopdienste. Nach der Installation der September-Updates auf Windows Server 2019 (KB5122876), 2022 (KB5122882) und 2025 (KB5122871) laufen die RDS-Server zunächst ein paar Stunden normal. Dann klemmt es: Neue RDP-Verbindungen bleiben dauerhaft im Status „Verbindung wird hergestellt” hängen, bestehende Sitzungen lassen sich nicht mehr sauber trennen oder abmelden. Besonders perfide ist ein zweites Fehlerbild, das mehrere Administratoren unabhängig voneinander beschreiben: Sobald sich der erste Nutzer abmeldet, stürzt der Dienst ab, und danach kommt niemand mehr herein. Nicht einmal der Task-Manager lässt sich noch als Administrator starten. Ein Neustart hilft nicht. Was hilft, ist ein harter Reset und anschließend die Deinstallation des Updates.

Ein Administrator hat den Hänger auf Server 2022 bis in die Funktion WDLIB_Close zurückverfolgt und vermutet einen Deadlock zwischen dem RDP-Stack und dem Local Session Manager, also genau beim Abbau einer Sitzung. Das ist eine plausible, aber unbestätigte Fremddiagnose. Und jetzt der eigentliche Treppenwitz: Das September-Paket schließt vier Schwachstellen, die direkt in den Remotedesktopdiensten sitzen, darunter CVE-2026-69525 mit einem CVSS-Wert von 9,8. Aus dem Netz erreichbar, ohne Anmeldung, ohne Zutun des Nutzers. Genau die Art Lücke, die man sofort schließen will. Nur nimmt das Update, das sie schließt, den Dienst gleich mit. Sie haben also die Wahl zwischen einem gepatchten, aber toten Terminalserver und einem laufenden, aber verwundbaren. Danke für nichts.

Als Sahnehäubchen deutet einiges darauf hin, dass die Ursache in derselben Komponente steckt, die Microsoft in den Release Notes als Verbesserung anpreist: die Audioweiterleitung in Remote-Desktop-Sitzungen. Eine Tonspur-Korrektur, die die komplette Anmeldung lahmlegt. Man muss es erst einmal schaffen.

Domänen-Vertrauensstellung: Sicherheit, die Sicherheit bricht

Der zweite große Ausfall betrifft die Clients. Nach der Installation von KB5124008 auf domänengebundenen Windows-11-Arbeitsstationen verlieren betroffene Rechner ihren sicheren Domänenkanal. Die Symptome sind eindeutig: nltest meldet „ERROR_NO_TRUST_LSA_SECRET” (1786), eine interaktive Anmeldung ist nicht mehr möglich, und zwischengespeicherte Anmeldeinformationen funktionieren offline weiterhin. Letzteres verrät, wo es klemmt: Die Vertrauensbeziehung des Computerkontos ist auf Ebene des LSA-Geheimnisses gerissen. Besonders zuverlässig tritt der Effekt bei Geräten auf, die sich per VPN verbinden.

Die vermutete Ursache ist an Ironie kaum zu überbieten. Laut einem Moderator im Microsoft-Learn-Forum hat Microsoft die Anforderungen an den sicheren Netlogon-Kanal in den jüngsten kumulativen Updates verschärft, also strengere Schlüsselaushandlung und Signierung erzwungen. Auf Server-2019-Domänencontrollern scheitert der Handshake dann, weil der Client strengere Anforderungen durchsetzt, als die Domänencontroller anbieten. Kurz gesagt: Microsoft härtet den Kanal, der das Vertrauen absichern soll, und bricht dabei genau dieses Vertrauen. Eine Sicherheitsmaßnahme, die die Anmeldung an der eigenen Domäne verhindert. Sicherer ist der Rechner damit zweifellos, denn niemand kommt mehr rein, auch nicht der rechtmäßige Nutzer.

Der Rest des Trümmerfelds

Damit nicht genug. Die Nachlese fördert eine ganze Reihe kleinerer, aber ärgerlicher Baustellen zutage:

Schwarze Bildschirme in RDP- und Hyper-V-Sitzungen, bei denen nur noch der Mauszeiger sichtbar ist. Ursache in mindestens einem gut dokumentierten Fall: Das Update hat den installierten Grafiktreiber durch den generischen Windows-Treiber ersetzt. Die manuelle Neuinstallation des richtigen Treibers und ein Neustart bringen die Sitzung zurück.

BitLocker mit Event-ID 24641 nach jedem Reboot, das über einen Fehler beim Abruf des Volume-Master-Keys klagt. Immerhin bleiben die Laufwerke offenbar zugänglich, das Ganze ist also eher kosmetisch. Beruhigend, wenn die Verschlüsselung nur so tut, als wäre etwas kaputt.

Die Secure-Boot-Falle. Das Secure-Boot-Update erwartet eine WinRE-Partition von rund 750 MB. Ist sie kleiner, versucht Windows Update sie zu vergrößern, was schiefgehen und den Rechner am Booten hindern kann. Bonuspunkt: Microsofts eigene Größenempfehlungen im Web widersprechen sich, je nachdem, welche Seite man erwischt. Wer soll da noch die richtige Partitionsgröße kennen?

Dazu kommen vereinzelte Update-Installationen, die nach dem ersten Reboot per Rollback wieder verschwinden, ein .NET-Update, das den Windows-Start torpediert, und eine kaputte Kopierfunktion in Excel nach dem zugehörigen Office-Update. Copy und Paste in einer Tabellenkalkulation. 2026.

„Aber die KI findet doch so viele Lücken”

Man kann das alles als Pech abtun, als unglückliche Häufung. Nur ist es keine. Der August hat den Druck von WPF-Anwendungen genommen, indem er das Drucken und den PDF-Export in ihnen zerlegte. Auf Windows Server 2016 warfen die August-Updates reihenweise 0xc0000409-Fehler. Und während Administratoren noch mit den September-Trümmern kämpfen, macht bereits eine frische Defender-Zero-Day namens „ShieldCrash” die Runde, die Microsofts jüngsten Patch aushebelt. Es ist ein Muster, kein Ausrutscher.

Und hier wird es dann grundsätzlich. Microsoft rühmt sich, dank KI-gestützter Analyse inzwischen fast tausend Schwachstellen pro Monat aufzuspüren. Schön für die Statistik. Nur nützt die beste Schwachstellensuche der Welt wenig, wenn das Update, das eine Lücke schließt, den Server gleich mit abräumt. Softwarequalität misst sich nicht an der Zahl der gefundenen Bugs, sondern an der Zahl der Updates, die sauber durchlaufen. Eine KI, die Lücken findet, aber keine, die dafür sorgt, dass der Fix niemanden aussperrt, verschiebt das Problem nur von der einen auf die andere Seite. Am Ende steht der Administrator, der abwägen muss, ob die aktiv ausgenutzte Zero-Day oder der eigene Patch das größere Risiko ist. Das ist kein Fortschritt, das ist eine Zumutung.

Was Microsoft (nicht) bestätigt

Der Vollständigkeit halber, weil es zum Bild passt: Zu den RDS-Ausfällen hat Microsoft gegenüber BleepingComputer inzwischen immerhin eingeräumt, die Berichte zu kennen und zu untersuchen. Eine bestätigte Ursache, ein Fix oder ein offizieller Workaround fehlen bislang, ebenso ein Eintrag im Windows Release Health Dashboard. Die Deadlock-Theorie stammt von Administratoren, nicht von Microsoft.

Zum Verlust der Domänen-Vertrauensstellung, zu den schwarzen Bildschirmen, zum BitLocker-Fehler und zur Secure-Boot-Falle gibt es Stand jetzt überhaupt keine offizielle Stellungnahme, kein bestätigtes Known Issue und keinen Known Issue Rollback. Wer betroffen ist, ist auf Community-Wissen und Eigeninitiative angewiesen. Das ist bei einem Update dieser Tragweite, das zwei aktiv ausgenutzte Zero-Days schließt, bemerkenswert dünn.

Was Sie jetzt tun sollten

So verlockend es nach dieser Aufzählung ist, den September-Patchday komplett zu überspringen: Tun Sie es nicht. Die beiden Zero-Days werden real angegriffen, und die Netzwerk-RCEs in DNS, DHCP und Co. sind kein Papiertiger. Die Antwort heißt nicht „nicht patchen”, sondern „gezielt patchen”. Konkret:

Trennen Sie Clients und Server. Die aktuell dokumentierten Totalausfälle betreffen vor allem RDS-/Terminalserver und den Domänenkanal. Rollen Sie die Client-Updates dort aus, wo die Zero-Days am meisten wehtun, also zuerst auf exponierten und sensiblen Endgeräten. Halten Sie im Gegenzug die kumulativen Server-Updates auf produktiven Terminalservern zurück, bis Microsoft nachbessert, und flankieren Sie das mit einer strengen Beschränkung der RDP-Exposition (kein RDP ins Internet, RD-Gateway, MFA, Netzsegmentierung).

Testen Sie vor der Fläche. Ein Testring aus repräsentativen Geräten hätte in diesem Monat mehr gebracht als jede Release Note. Wer erst auf einer Handvoll Maschinen prüft und dann breit ausrollt, fängt genau solche Regressionen ab, bevor sie den Betrieb treffen.

Halten Sie die Workarounds bereit, falls es Sie doch erwischt. Bei toten RDS-Servern hilft zuverlässig nur die Deinstallation des jeweiligen Server-Updates (KB5122876, KB5122882 oder KB5122871), zur Not per DISM, samt vorübergehendem Pausieren der Updates. Ein bloßer Neustart genügt nicht. Bei gebrochener Domänen-Vertrauensstellung nach KB5124008 gibt es drei Wege: das Update deinstallieren, den Rechner aus der Domäne nehmen und neu beitreten, oder den sicheren Kanal mit Domänen-Administratorrechten reparieren (etwa über Test-ComputerSecureChannel -Repair beziehungsweise Reset-ComputerMachinePassword). Beim schwarzen Bildschirm installieren Sie den korrekten Grafiktreiber neu. Und vor dem Secure-Boot-Update lohnt der Blick auf die Größe der WinRE-Partition.

Kurz: Priorisieren Sie nach tatsächlicher Ausnutzung, staffeln Sie den Rollout, und behalten Sie das Windows Release Health Dashboard im Auge, falls Microsoft doch noch einen Known Issue Rollback oder einen sauberen Fix nachreicht.

Fazit

Der September 2026 ist ein Lehrstück. Nicht darüber, wie gefährlich die Bedrohungslage ist, das wissen wir. Sondern darüber, dass der größte Feind eines gut gewarteten Systems inzwischen der Hersteller selbst sein kann. Ein Patchday, der zwei aktiv ausgenutzte Zero-Days schließt und im selben Atemzug Terminalserver, Domänenanmeldung und Bildschirme lahmlegt, ist kein Sicherheitsgewinn, sondern ein Nullsummenspiel mit Extra-Arbeit. Solange die Update-Qualität so bleibt, ist die eigentliche Kunst nicht mehr das Patchen, sondern das Überleben des Patches. Und keine noch so kluge KI ändert daran etwas, solange sie nur die Lücken zählt und nicht die Scherben.

Nachtrag (11. September 2026): Der chirurgische RDS-Fix, mit Dank an LazyAdmin

Kurz nach Veröffentlichung dieses Beitrags hat Rudy Mens auf LazyAdmin einen Weg dokumentiert, der die oben empfohlene RDS-Deinstallation überflüssig macht und die Sicherheitspatches erhält. Weil das genau die Lücke schließt, die dieser Artikel offengelassen hatte, hier die Kurzfassung mit Verweis auf die Originalquelle.

Die Ursache lässt sich damit erstmals benennen, weiterhin ohne offizielle Microsoft-Bestätigung. Beim Sitzungsabbau ruft die Routine RDPSERVERBASE!WDLIB_Close die Funktion RtlWaitOnAddress ohne Timeout auf, sobald ein bestimmtes internes Feature-Flag mit der Nummer 3802373433 aktiv ist. Der Thread wartet dann endlos. Da der Local Session Manager sämtliche Änderungen am Sitzungszustand über einen einzigen kritischen Abschnitt serialisiert, blockiert dieser hängende Thread alles Nachfolgende, also neue Verbindungen, Abmeldungen und Broker-Anfragen, bis zum harten Reset.

Betroffen sind alle aktuellen Server-Versionen über ihre September-CUs, und zwar etwas weiter gefasst als anfangs berichtet auch Server 2016: KB5123099 (Server 2016), KB5122876 (Server 2019), KB5122882 (Server 2022, Build 20348.5622) und KB5122871 (Server 2025, Build 26100.33438).

Ob ein Host tatsächlich diesen Defekt hat, verraten drei Signaturen: Event 20498 (Quelle TerminalServices-RemoteConnectionManager) über eine zu lange dauernde Client-Verbindung, Event 6005 (Winlogon) über eine hängende SessionEnv-Benachrichtigung beim Disconnect, sowie der Dienst TermService im Status StopPending statt Running.

Wichtig vorab: Es handelt sich um einen inoffiziellen Eingriff in eine undokumentierte Windows-Funktion. Testen Sie ihn zuerst auf einem unkritischen Host und legen Sie die unten genannte Sicherung an.

Der Fix für noch erreichbare Hosts deaktiviert gezielt das fehlerhafte Feature-Flag per Registry-Override und lässt alle Sicherheitspatches installiert. Zuerst die vorhandenen Overrides sichern:

powershell

New-Item -Path C:\temp -ItemType Directory -Force | Out-Null
reg export "HKLM\SYSTEM\CurrentControlSet\Control\FeatureManagement\Overrides" C:\temp\FeatureOverrides-backup.reg

Dann den Override setzen. Der Zweig 4 steht für die Priorität und passt in den meisten Umgebungen; bei bereits vorhandenen Overrides vorher die exportierte .reg prüfen:

powershell

New-Item -Path "HKLM:\SYSTEM\CurrentControlSet\Control\FeatureManagement\Overrides\4\3802373433" -Force
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\FeatureManagement\Overrides\4\3802373433" -Name "EnabledState" -Value 1 -Type DWord
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\FeatureManagement\Overrides\4\3802373433" -Name "EnabledStateOptions" -Value 0 -Type DWord

Der Override greift nach einem Neustart des Dienstes TermService. Ein kompletter Server-Neustart ist nicht nötig, die aktiven RDP-Sitzungen werden dabei aber getrennt:

powershell

Restart-Service -Name TermService -Force

Anschließend 24 bis 48 Stunden lang auf die Events 20498 und 6005 achten, vor allem rund um Abmeldungen. Tauchen sie nicht wieder auf und bleibt TermService auf Running, hält der Override.

Für bereits blockierte, nicht mehr erreichbare Hosts bleibt nur der harte Reset und danach das Entfernen des September-CU, bevor der Deadlock erneut zuschlägt. Ein wichtiges Detail: wusa /uninstall /kb:5122882 scheitert, weil die September-Updates als kombiniertes Paket aus Servicing Stack Update (SSU) und kumulativem Update ausgeliefert werden. Das SSU lässt sich nicht entfernen, also weist der Installer das gesamte Paket ab. Der Weg führt über DISM:

powershell

dism.exe /Online /Get-Packages /Format:Table | findstr /i "Package_for_RollupFix"
dism.exe /Online /Remove-Package /PackageName:Package_for_RollupFix~31bf3856ad364e35~amd64~~20348.5622.1.2 /NoRestart

Den Paketnamen aus der ersten Zeile exakt übernehmen; der SSU-Anteil bleibt erwartungsgemäß installiert. Danach die KB gegen die automatische Neuinstallation sperren, per WSUS-Ablehnung oder GPO-Verzögerung.

Zwei Einordnungen zum Schluss. Erstens, ganz praktisch: Der Feature-Flag-Override ist die klar bessere Wahl, weil die DISM-Deinstallation sämtliche September-Patches entfernt, inklusive des Fixes für die 9,8er-RDS-Lücke CVE-2026-69525. Reservieren Sie den Rollback für Hosts, die ohnehin schon tot sind. Zweitens, mit dem gebotenen Sarkasmus: Es ist bezeichnend, dass die brauchbarste Handlungsanleitung zu diesem Schlamassel nicht vom Hersteller kommt, sondern von einem einzelnen Blogger, der Microsofts undokumentiertes Feature-Flag reverse-engineert hat. Ein offizieller Fix oder ein Known Issue Rollback fehlen weiterhin. Sobald Microsoft nachliefert, aktualisiere ich diesen Beitrag.

Nach dem Rekordmonat Juli, in dem Microsoft rund 570 Schwachstellen stopfen musste, fällt der August-Patchday auf den ersten Blick etwas kleiner aus. Doch „kleiner” ist relativ: Mit über 400 behobenen Sicherheitslücken bewegt sich auch dieser Monat auf einem Niveau, das noch vor zwei Jahren als absoluter Ausnahmefall gegolten hätte. Dreistellige und mittlerweile fast vierstellige Patch-Zahlen sind zum Dauerzustand geworden.

Der Grund dafür ist strukturell und wird sich nicht mehr umkehren. Microsoft setzt inzwischen selbst auf KI-gestützte Systeme zur automatisierten Schwachstellensuche und hat angekündigt, dass genau das die Zahl der monatlichen Sicherheitsupdates dauerhaft nach oben treibt. Was der Codequalität langfristig guttut, bedeutet für Administratoren kurzfristig einen dauerhaft hohen Testaufwand.

Der eigentliche Unterschied zum Juli ist aber nicht die Menge, sondern die Brisanz einer einzelnen Lücke: Diesen Monat gibt es wieder einen Zero-Day, der bereits aktiv ausgenutzt wird, und zwar von einem staatlichen Akteur. Dieser Überblick zeigt, wo die Gefahr derzeit am größten ist und in welcher Reihenfolge Sie Ihre Systeme absichern sollten.

Die nackten Zahlen im Überblick

Bei den Gesamtzahlen lohnt ein genauer Blick, denn sie schwanken je nach Quelle erheblich. Microsoft selbst weist in seiner offiziellen Release-Note 421 Schwachstellen aus. Sicherheitsdienstleister wie Tenable kommen nach Abzug bestimmter Cloud- und Sonderfälle hingegen auf rund 398. Das ist eine reine Frage der Zählweise, die in den kommenden Tagen für unterschiedliche Zahlen in der Berichterstattung sorgen wird. Von diesen Lücken gelten 42 als kritisch, der ganz überwiegende Teil (355) als wichtig, eine einzelne als moderat. Innerhalb der kritischen Lücken dominiert erwartungsgemäß die Remotecodeausführung mit 37 Einträgen, hinzu kommen fünf kritische Rechteausweitungen. Für die Rollout-Planung hilfreich ist die Aufteilung nach Produkten: Allein 236 der Lücken entfallen auf Windows 11 und werden über das kumulative Update abgedeckt, weitere 98 auf Office (separate Office-Updates), gefolgt von SharePoint Server mit 30 und den Developer Tools mit 26.

Über alle Kategorien hinweg verteilen sich die Schwachstellen grob wie folgt: rund 176 Rechteausweitungen (Elevation of Privilege), etwa 110 Remotecodeausführungen (RCE), rund 86 Fälle von Informationsoffenlegung, 21 Spoofing-Lücken, 12 Denial-of-Service-Schwachstellen und 11 Umgehungen von Sicherheitsfunktionen. Besonders relevant sind in diesem Monat gleich drei Zero-Days: Eine davon wird bereits aktiv angegriffen, zwei weitere waren vor der Bereitstellung des Patches öffentlich bekannt.

Die kritischsten Brennpunkte im Detail

Wer diesen Patch-Zyklus überspringen möchte, sollte sich die folgende Liste genau ansehen. Mehrere Lücken betreffen zentrale Server-Rollen, die in praktisch jeder Windows-Domäne laufen: DNS-Server, DHCP und die Bereitstellungsdienste. Es folgt die detaillierte technische Aufarbeitung der wichtigsten Patches dieses Monats.

1. AFD.sys WinSock Elevation of Privilege (CVE-2026-68820)

CVSS-Score: 7,0

SCHWERWIEGENDKEIT: Hoch (aktiv ausgenutzt)

BEDROHUNG: Elevation of Privilege (Lokale Rechteausweitung auf SYSTEM)

EXPLOITS: Dies ist die einzige nachweislich aktiv ausgenutzte Schwachstelle dieses Monats und damit der wichtigste Patch überhaupt. Entdeckt und an Microsoft gemeldet wurde die Lücke von den Check-Point-Forschern Moshe Marelus und David Driker. Laut deren Analyse wurde sie im Rahmen gezielter Angriffe von der nordkoreanischen Lazarus-Gruppe eingesetzt, um über gefälschte Stellenangebote eine neue Variante des Kernel-Rootkits FudModule einzuschleusen. Auch Action1 stuft diese Schwachstelle als die mit Abstand wichtigste des gesamten Monats ein, schlicht weil die Ausnutzung bereits nachgewiesen ist. Kurios am Rande: Im CVSS-Vektor stuft Microsoft die Exploit-Reife formal als „unproven” ein, benennt die Lücke gleichzeitig aber als aktiv ausgenutzt. Diesen Widerspruch hat unter anderem die Zero Day Initiative süffisant angemerkt.

TECHNISCHE ZUSAMMENFASSUNG: Die Schwachstelle liegt im Ancillary Function Driver for WinSock (afd.sys), jenem Kernel-Treiber, der die Socket-Infrastruktur von Windows bereitstellt. Es handelt sich um einen Use-after-free-Fehler: Ein Speicherobjekt wird freigegeben und anschließend erneut referenziert. Ein lokal angemeldeter Angreifer mit niedrigen Rechten kann über eine speziell präparierte Anwendung eine Race Condition auslösen und diesen Zustand ausnutzen, um eigenen Code im Kontext des Kernels und damit mit SYSTEM-Rechten auszuführen. Eine Benutzerinteraktion ist nicht erforderlich.

AUSNUTZBARKEIT: Der Angriff setzt lokalen Zugriff und ein niedrig privilegiertes Konto voraus. Die Angriffskomplexität gilt als hoch, da der Angreifer das enge Zeitfenster der Race Condition treffen muss. Für einen staatlich unterstützten Akteur wie Lazarus ist das keine ernsthafte Hürde. Da afd.sys auf praktisch jedem Windows-System aktiv ist, ist die Angriffsfläche entsprechend groß.

AUSWIRKUNGEN AUF DAS GESCHÄFT: Diese Lücke ist der klassische zweite Baustein einer Angriffskette. Nach dem initialen Zugang, etwa über ein manipuliertes Bewerbungsdokument, hebelt der Angreifer die Rechtetrennung des Systems aus und erlangt volle SYSTEM-Rechte. Mit dem nachgeladenen FudModule-Rootkit lassen sich anschließend Endpoint-Protection und Virenschutz blenden, Treiber manipulieren und dauerhafte, schwer auffindbare Persistenz verankern. Für Kommunen und KRITIS-nahe Einrichtungen ist der spionagegetriebene Hintergrund besonders brisant.

WORKAROUND: Einen sinnvollen technischen Workaround gibt es nicht; hier hilft nur das Einspielen des Updates. Flankierend sollte das EDR-System so konfiguriert werden, dass es verdächtige Kernel-Manipulationen und ungewöhnliche Kindprozesse erkennt. Ein konsequentes Least-Privilege-Prinzip und Application Control (zur Abwehr präparierter Dokumente aus Fake-Bewerbungen) senken das Restrisiko zusätzlich.

DRINGLICHKEIT: Höchste. Als einzige aktiv ausgenutzte Lücke des Monats gehört dieser Patch mit oberster Priorität auf alle Systeme, zuerst auf exponierte und besonders gefährdete Clients.

2. Windows User Profile Service – „LegacyHive” (CVE-2026-62832)

CVSS-Score: 7,8

SCHWERWIEGENDKEIT: Hoch

BEDROHUNG: Elevation of Privilege (Rechteausweitung auf Administrator)

EXPLOITS: Die Schwachstelle war bereits vor Verfügbarkeit des Patches öffentlich bekannt. Sie entspricht dem als „LegacyHive” veröffentlichten Proof-of-Concept des Sicherheitsforschers Nightmare Eclipse, also derselben Quelle, die bereits im Juni mit ihren BitLocker- und GreenPlasma-Veröffentlichungen für Aufsehen gesorgt hatte. Microsoft stuft die Ausnutzung als „eher wahrscheinlich” ein.

TECHNISCHE ZUSAMMENFASSUNG: Ursache ist eine fehlerhafte Link-Auflösung (Improper Link Resolution / Link Following) im Windows-Benutzerprofildienst. Ein authentifizierter Angreifer, der über Zugangsdaten für ein anderes lokales Konto verfügt, kann mit einer präparierten Anwendung erzwingen, dass die Registry-Hive eines anderen Benutzers geladen wird. Über symbolische Verknüpfungen wird der Dienst dabei auf geschützte Pfade umgelenkt. Meldet sich anschließend ein Administrator an dem kompromittierten Gerät an, lassen sich auf diesem Weg Befehle mit dessen Rechten ausführen.

AUSNUTZBARKEIT: Erforderlich ist ein lokaler, authentifizierter Zugriff. Besonders relevant ist die Lücke auf Mehrbenutzer-Systemen wie Terminalservern, Citrix-Umgebungen oder geteilten Arbeitsplätzen, auf denen ohnehin mehrere Benutzerkonten existieren.

AUSWIRKUNGEN AUF DAS GESCHÄFT: Aus einem gewöhnlichen Standardbenutzer wird ein Administrator. In Kombination mit einer Phishing-Mail ergibt sich eine zuverlässige Rechteausweitung: Sobald der Angreifer einen Fuß in der Tür hat, kann er Virenschutz deaktivieren, Anmeldedaten aus dem LSASS-Speicher auslesen und sich lateral im Netzwerk ausbreiten.

WORKAROUND: Primär gilt: patchen. Flankierend helfen ein striktes Least-Privilege-Prinzip, der Verzicht auf gemeinsam genutzte Konten sowie ein Monitoring auf das ungewöhnliche Laden fremder Registry-Hives.

DRINGLICHKEIT: Hoch. Öffentlich bekannter PoC, von Microsoft als „eher wahrscheinlich” eingestuft.

3. Container Isolation FS Filter Driver (CVE-2026-72971)

CVSS-Score: 5,5

SCHWERWIEGENDKEIT: Hoch (öffentlich bekannt)

BEDROHUNG: Tampering (Lokale Manipulation)

EXPLOITS: Auch diese Lücke wurde vor Verfügbarkeit des Patches öffentlich bekannt; Microsoft schreibt die Entdeckung den Forschern „yhw & txz” zu. Anders als bei den beiden vorgenannten Zero-Days stuft Microsoft die Ausnutzung hier als „unwahrscheinlich” ein.

TECHNISCHE ZUSAMMENFASSUNG: Betroffen ist der Container Isolation FS Filter Driver (unionfs.sys), der das Overlay-Dateisystem für Windows-Container bereitstellt. Erneut liegt die Ursache in einer fehlerhaften Link-Auflösung: Über Link-Following lässt sich die Dateizugriffslogik des Treibers umlenken und für Manipulationen missbrauchen.

AUSNUTZBARKEIT: Der Angriff erfordert lokalen, authentifizierten Zugriff und ist praktisch nur auf Hosts relevant, die tatsächlich Windows-Container betreiben. Für reine Client-Arbeitsplätze ohne Container-Workloads ist das Risiko gering.

AUSWIRKUNGEN AUF DAS GESCHÄFT: In Container-Umgebungen kann die Lücke als Baustein dienen, um Dateien zu manipulieren oder Isolationsgrenzen aufzuweichen. Wo keine Container zum Einsatz kommen, ist die Angriffsfläche jedoch nicht gegeben.

WORKAROUND: Patch einspielen, insbesondere auf Container-Hosts. Umgebungen ohne Container haben hier keinen akuten Handlungsdruck.

DRINGLICHKEIT: Mittel. Öffentlich bekannt, aber als „unwahrscheinlich” eingestuft und mit stark begrenzter Angriffsfläche.

4. Windows DNS Server Remote Code Execution (CVE-2026-62878)

CVSS-Score: 9,8

SCHWERWIEGENDKEIT: Kritisch

BEDROHUNG: Remote Code Execution (RCE / wurmfähig)

EXPLOITS: Bislang wurden weder aktive Angriffe noch eine öffentliche Veröffentlichung beobachtet, und Microsoft bewertet die Ausnutzung offiziell als „unwahrscheinlich”. Die Zero Day Initiative hält diese Einschätzung allerdings für zu optimistisch, da die Lücke wurmfähig ist. In diesem Monat wurden gleich mehrere DNS-Server-RCEs geschlossen, darunter CVE-2026-62817 (Out-of-Bounds-Write, CVSS 8,8) und CVE-2026-62820 (Race Condition, CVSS 8,1). CVE-2026-62878 ist aber mit Abstand die schwerste.

TECHNISCHE ZUSAMMENFASSUNG: Es handelt sich um einen Stack-based Buffer Overflow im Windows-DNS-Server. Ein nicht authentifizierter Angreifer kann durch ein speziell präpariertes Paket an den DNS-Dienst Code mit erhöhten Rechten ausführen, ohne jede Benutzerinteraktion.

AUSNUTZBARKEIT: Der Angriff erfolgt netzwerkbasiert, ohne Anmeldung und ohne Interaktion. Entscheidend für die Tragweite: Der Windows-DNS-Server läuft in aller Regel auf den Domänencontrollern. Eine erfolgreiche Ausnutzung trifft damit direkt das Herz des Active Directory.

AUSWIRKUNGEN AUF DAS GESCHÄFT: Eine Remotecodeausführung auf einem Domänencontroller ist der Worst Case. Der Angreifer kontrolliert damit sowohl die Namensauflösung als auch das Verzeichnis selbst und kann sich praktisch beliebig domänenweit ausbreiten. Durch die Wurmfähigkeit besteht zudem die Gefahr, dass ein einmal entwickelter Exploit sich selbstständig von System zu System weiterträgt.

WORKAROUND: Höchste Priorität beim Patchen der Domänencontroller und DNS-Server. Der DNS-Dienst sollte niemals unnötig aus dem Internet erreichbar sein, und auch die interne Exposition sollte über Segmentierung so weit wie möglich reduziert werden.

DRINGLICHKEIT: Kritisch. Domänencontroller zuerst patchen.

5. Windows Deployment Services TFTP Server RCE (CVE-2026-62893)

CVSS-Score: 9,8

SCHWERWIEGENDKEIT: Kritisch

BEDROHUNG: Remote Code Execution (RCE / Remotecodeausführung)

EXPLOITS: Aktive Angriffe sind bislang nicht bekannt, allerdings stuft Microsoft die Ausnutzung als „eher wahrscheinlich” ein. Sowohl Action1 als auch die Zero Day Initiative heben diese Lücke ausdrücklich als besonders beachtenswert hervor.

TECHNISCHE ZUSAMMENFASSUNG: Die Schwachstelle ist ein Use-after-free-Fehler im TFTP-Server-Bestandteil der Windows-Bereitstellungsdienste (Windows Deployment Services, WDS). Ein nicht authentifizierter Angreifer kann durch präparierte Pakete an den TFTP-/WDS-Dienst eine Codeausführung auf dem Server auslösen.

AUSNUTZBARKEIT: Der Angriff erfolgt netzwerkbasiert und ohne Authentifizierung. Betroffen sind Umgebungen, die WDS für PXE-Boot und die automatisierte Betriebssystem-Bereitstellung einsetzen, in der öffentlichen Verwaltung und in größeren Domänen keineswegs selten.

AUSWIRKUNGEN AUF DAS GESCHÄFT: Eine Remotecodeausführung auf dem Deployment-Server ist deshalb so gefährlich, weil dieser Server Betriebssystem-Images an neue Clients verteilt. Ein kompromittierter WDS-Server eignet sich hervorragend für eine flächendeckende Kompromittierung, gewissermaßen eine Supply-Chain-Attacke innerhalb des eigenen OS-Rollouts.

WORKAROUND: Patch einspielen. Der WDS-/TFTP-Dienst sollte nicht exponiert werden; PXE-Netzsegmente gehören isoliert. Wird WDS nicht benötigt, sollte der Dienst deaktiviert werden.

DRINGLICHKEIT: Hoch bis kritisch, insbesondere überall dort, wo WDS aktiv im Einsatz ist.

6. Windows DHCP Server Remote Code Execution (CVE-2026-62823)

CVSS-Score: 8,8

SCHWERWIEGENDKEIT: Kritisch

BEDROHUNG: Remote Code Execution (RCE / Remotecodeausführung)

EXPLOITS: Aktive Angriffe sind derzeit nicht bekannt, Microsoft bewertet die Ausnutzung jedoch als „eher wahrscheinlich”.

TECHNISCHE ZUSAMMENFASSUNG: Ursache ist ein Heap-based Buffer Overflow im Windows-DHCP-Server. Ein nicht authentifizierter Angreifer im benachbarten Netzwerk kann durch ein manipuliertes Paket eine Codeausführung auslösen. Ergänzend hat Microsoft in diesem Monat 13 weitere, jeweils als „wichtig” eingestufte DHCP-Server-Lücken geschlossen, darunter acht Schwachstellen zur Informationsoffenlegung (CVSS 6,5) und fünf Rechteausweitungen (CVSS 7,8).

AUSNUTZBARKEIT: Der Angriff setzt einen Standort im benachbarten Netzsegment voraus, benötigt aber keine Authentifizierung. Da der DHCP-Server-Dienst üblicherweise auf zentraler Server-Infrastruktur betrieben wird, nicht selten auf einem Domänencontroller, ist die Tragweite erheblich.

AUSWIRKUNGEN AUF DAS GESCHÄFT: Eine Remotecodeausführung auf dem DHCP-Server bringt einen zentralen Netzdienst unter die Kontrolle des Angreifers. Von dort aus lässt sich die weitere Ausbreitung im Netzwerk vorbereiten, bis hin zur vollständigen Kompromittierung der Server-Infrastruktur.

WORKAROUND: Patch einspielen und den Zugriff auf den DHCP-Dienst konsequent auf vertrauenswürdige Netzsegmente beschränken.

DRINGLICHKEIT: Hoch.

Weitere kritische Schwachstellen im Überblick

Neben den sechs ausführlich behandelten Lücken lohnt ein Blick auf mehrere weitere kritische Schwachstellen, die alle über das Netzwerk und ohne Authentifizierung angreifbar sind. Die Microsoft QUIC Remote Code Execution (CVE-2026-62815) und die Windows iSCSI Target Service Remote Code Execution (CVE-2026-65791) erreichen ebenfalls jeweils einen CVSS-Score von 9,8. Action1 weist bei der QUIC-Lücke ausdrücklich darauf hin, dass exponierte, verwundbare Dienste ein erhebliches Risiko darstellen, da weder Authentifizierung noch Benutzerinteraktion erforderlich sind. Bei den Active Directory Certificate Services wurde mit CVE-2026-62818 eine kritische RCE geschlossen (CVSS 8,8, Use-after-free), für alle Betreiber einer eigenen PKI ein Pflicht-Patch.

Aufmerksamkeit verdient auch SharePoint. CVE-2026-65665 (CVSS 8,8, Deserialisierung nicht vertrauenswürdiger Daten) ist als „eher wahrscheinlich” eingestuft. Das wiegt schwer, denn bereits die aktiv ausgenutzte SharePoint-RCE des Vormonats wurde genutzt, um Machine Keys von On-Premises-Servern zu stehlen. Bei Exchange sticht CVE-2026-62911 heraus, eine kritische Rechteausweitung über einen Authentifizierungs-Bypass (CVSS 8,0). Action1 skizziert das Schadenspotenzial drastisch: Aus dem Zugriff auf ein einzelnes Exchange-Konto könne die Kontrolle über sämtliche Postfächer werden, samt E-Mails, Anhängen und vertraulichem Schriftverkehr. Ebenfalls beachtenswert ist eine kritische Office-RCE (CVE-2026-64898, Heap-based Buffer Overflow): Hier genügt bereits die Anzeige einer präparierten Datei im Vorschaufenster (Preview Pane), ein Klick zum Öffnen ist nicht nötig. Hinzu kommen kritische RCEs in der Grafik-Komponente (GDI+, CVE-2026-62822) sowie in der Device Health Attestation (CVE-2026-71331, CVE-2026-66802).

Ein interessanter Sonderfall ist der High Performance Computing (HPC) Pack (CVE-2026-59124): technisch ein CVSS-9,8-Fehler und als „eher wahrscheinlich” eingestuft, aber nur als „wichtig” klassifiziert, weil HPC nicht standardmäßig aktiv ist. Wer HPC einsetzt, sollte diese Lücke dennoch nicht auf die lange Bank schieben. Bemerkenswert ist außerdem, dass gleich drei Schwachstellen im AFD.sys-WinSock-Treiber behoben wurden. Der Treiber hat sich zu einem verlässlichen Einfallstor für Rechteausweitungen entwickelt.

Auch abseits von Microsoft war der August ein arbeitsreicher Monat. Die schwerste Lücke überhaupt fand sich bei SAP: eine Autorisierungsschwachstelle im Data Hub Adapter der SAP Commerce Cloud (CVE-2026-58231) mit dem Höchstwert CVSS 10,0. Hinzu kamen weitere kritische SAP-Fixes, darunter eine Code-Injection in Manufacturing Integration and Intelligence (CVE-2026-44772, CVSS 9,9). N-able patchte eine bereits aktiv ausgenutzte Authentifizierungs-Umgehung in N-central, Metabase eine aktiv ausgenutzte SQL-Injection. Dazu kamen Updates von Adobe, Cisco (unter anderem ClamAV), VMware (Avi Load Balancer) und TP-Link (Omada).

Patchmanagement im Zeitalter von KI: Die Spielregeln ändern sich

Der August bestätigt, was sich seit Monaten abzeichnet: Manuelles Patchmanagement „mal eben am Wochenende” ist endgültig Geschichte. Wenn Microsoft selbst KI einsetzt, um Schwachstellen schneller zu finden, dann tun Angreifer das erst recht. Sie nutzen dieselbe Technologie, um veröffentlichte Patches per Reverse Engineering in kürzester Zeit zu analysieren und passende Exploits zu bauen. Das Zeitfenster zwischen Veröffentlichung und aktiver Ausnutzung schrumpft rasant, wie die AFD.sys-Lücke in diesem Monat einmal mehr zeigt.

Für Organisationen, gerade in der öffentlichen Verwaltung und im KMU-Umfeld, ist ein strukturierter, automatisierter und priorisierter Rollout-Prozess damit keine Kür mehr, sondern überlebenswichtig. Nicht zuletzt die verschärften Anforderungen der NIS-2-Richtlinie machen einen nachweisbaren, dokumentierten Patch-Prozess zur Pflicht.

Handlungsempfehlungen für Ihre IT-Infrastruktur

Priorisieren Sie in diesem Monat zuerst Ihre zentrale Server-Infrastruktur. Die kritischen RCE-Lücken in DNS-Server, DHCP-Server und den Bereitstellungsdiensten betreffen Rollen, die typischerweise auf Ihren Domänencontrollern und zentralen Servern laufen. Ein kompromittierter DC bedeutet den Verlust der gesamten Domäne. Diese Systeme gehören daher an den Anfang jeder Rollout-Welle.

Kümmern Sie sich unmittelbar danach um die aktiv ausgenutzte AFD.sys-Zero-Day-Lücke auf Ihren Clients. Da diese Schwachstelle bereits nachweislich für Angriffe verwendet wird, sollten insbesondere exponierte und risikobehaftete Endgeräte zeitnah abgesichert werden. Ein reines „Später erledigen wir das im normalen Zyklus” ist bei einer aktiv ausgenutzten Lücke keine vertretbare Option.

Führen Sie den Rollout trotz der Dringlichkeit unbedingt in kontrollierten Wellen durch. Bei über 400 Schwachstellen und dem entsprechend großen Umfang an Codeänderungen ist das Risiko von Kompatibilitätsproblemen erhöht. Testen Sie die Updates zuerst auf einer repräsentativen Gruppe von Testgeräten, bevor Sie sie in der Fläche verteilen. Die Priorisierung nach Kritikalität und die schnelle Verteilung dürfen nicht zu Lasten der Betriebsstabilität gehen.

Verifizieren Sie zuletzt den tatsächlichen Update-Status. Verlassen Sie sich nicht allein auf die Standardanzeige von Windows Update, sondern nutzen Sie professionelle Asset- und Compliance-Werkzeuge, um sicherzustellen, dass die KB-Stände auf allen Systemen lückenlos aktiv sind. Gerade bei den serverseitigen Lücken zählt jeder ungepatchte Host.

Neuerungen abseits der Sicherheit

Neben den reinen Sicherheitsfixes bringt das August-Update auch die Funktionsneuerungen des optionalen Juli-Vorschauupdates in die Fläche und erreicht mit dem Pflichtupdate nun alle Nutzer. Die sichtbarste Änderung betrifft den Datei-Explorer: Dateigrößen werden endlich nicht mehr ausschließlich in Kilobyte angezeigt, sondern je nach Umfang auch in Megabyte und Gigabyte. Zusätzlich lassen sich Ordner jetzt per mittlerer Maustaste direkt als neuer Tab im selben Fenster öffnen, und auch die Dateivorschau wurde überarbeitet.

Darüber hinaus verbessert Microsoft die Windows-Suche, die nun auch bei unklaren oder fehlerhaften Eingaben treffsicherer arbeitet und erstmals Dateinamen mit nur zwei Zeichen unterstützt. Windows Hello Enhanced Sign-in Security (ESS) unterstützt ab sofort kompatible externe Fingerabdruckleser, für Umgebungen mit biometrischer Anmeldung eine praktische Erweiterung. Und die Sprachsteuerung Voice Access erhält mit „Voice Isolation” eine Funktion, die Hintergrundgeräusche und fremde Stimmen herausfiltert, um Sprachbefehle zuverlässiger zu erkennen. Wie immer bündeln die Updates zudem neue Secure-Boot-Zertifikate, deren Verteilung sich über die kommenden Monate erstreckt.

Exchange Server: ein separates Sicherheitsupdate

Für Exchange Server liefert Microsoft am August-Patchday wie üblich ein eigenständiges Sicherheitsupdate aus, das unabhängig von den kumulativen Windows-Updates eingespielt werden muss. Das August-SU schließt sieben Schwachstellen in Exchange Server, von denen Microsoft genau eine als kritisch einstuft: die bereits erwähnte Rechteausweitung CVE-2026-62911 (CVSS 8,0). Aktiv ausgenutzt wird nach aktuellem Stand keine der sieben Lücken.

Bereitgestellt werden die Updates für Exchange Server 2016, Exchange Server 2019 sowie die Exchange Server Subscription Edition (SE). Exchange Online ist bereits geschützt. Hier besteht kein Handlungsbedarf, abgesehen von der Aktualisierung vorhandener On-Premises-Server und der Workstations mit den Exchange-Verwaltungstools. Wichtig für Bestandsumgebungen: Für Exchange 2016 und 2019 gibt es die Updates ausschließlich über das kostenpflichtige ESU-Programm (Phase 2). Wer dort keine Lizenz gebucht hat, erhält das August-SU nicht und verbleibt sicherheitstechnisch auf dem Stand von Juli 2025, ein weiterer deutlicher Fingerzeig, den Umstieg auf Exchange Server SE einzuplanen.

Für das August-Update selbst sind bislang keine Probleme bekannt. Bestehen bleibt allerdings ein bereits mit dem Juni-SU eingeführtes Verhalten: In Hybrid-Umgebungen können nach dessen Installation sogenannte Wrapper-Nachrichten in Shared Mailboxes auftauchen; Microsoft führt dies weiterhin als bekanntes Problem. Wer eine Hybrid-Konfiguration betreibt, sollte nach der Installation ein Auge darauf haben. Wie bei jedem Exchange-SU gilt außerdem: Das Update über eine administrative Eingabeaufforderung installieren, um unvollständige Installationen durch fehlende Berechtigungen zu vermeiden.

Wer mehrere Exchange-Server betreibt, sollte den Patchday ohnehin zum Anlass nehmen, den Exchange Health Checker laufen zu lassen. Das Skript zeigt neben dem Patchstand auch gleich, ob noch manuelle Schritte offen sind. Seit dem Juli-2026-Update prüft es zusätzlich, ob die längst abgekündigten Sicherheitsgruppen Exchange Domain Servers und Exchange Enterprise Servers noch im Active Directory existieren. Beide stammen aus Zeiten von Exchange 2000/2003, werden seit Exchange 2007 nicht mehr verwendet und liegen in über Jahre gewachsenen Umgebungen häufig noch in der OU „Users”. Das ist ausdrücklich kein reines Aufräumthema: Die Gruppen besitzen im Active Directory teils weitreichende Berechtigungen wie Write All Properties, ListChildren oder vereinzelt WriteDacl auf OUs und Domänenobjekten, deutlich mehr, als die aktuellen Exchange-Sicherheitsgruppen benötigen. Solange sie existieren, sind sie ein lohnendes Angriffsziel: Wer ihre Mitgliedschaft manipulieren kann, erbt diese Altrechte gleich mit. Microsoft empfiehlt daher, die Gruppen zu entfernen, und zwar selbst dann, wenn der letzte On-Premises-Exchange bereits abgebaut wurde.

Update-Pakete für Windows-Clients und -Server

Die folgende Übersicht fasst die kumulativen Updates dieses Patchdays für die noch unterstützten Windows-Versionen zusammen. Alle Pakete sind kumulativ und enthalten sämtliche Sicherheitsfixes bis zum Patchday.

Zu beachten: Windows 10 22H2 ist seit Oktober 2025 aus dem regulären Support gefallen; Sicherheitsupdates gibt es nur noch im Rahmen des ESU-Programms. Für Windows Server 2012/R2 ist ebenfalls eine ESU-Lizenz erforderlich, und Windows Server 23H2 hat den Support im Mai 2026 verlassen.

Ausgewählte kritische Sicherheitsupdates vom Patch Tuesday im August 2026

Die folgende Tabelle listet eine Auswahl der wichtigsten kritischen Schwachstellen dieses Monats. Die vollständige Liste aller rund 400 behobenen CVEs finden Sie im Microsoft Security Update Guide sowie in der Gesamtübersicht bei BleepingComputer.

Hinweis: Diese Tabelle stellt eine kuratierte Auswahl dar und erhebt keinen Anspruch auf Vollständigkeit. Maßgeblich ist stets der offizielle Microsoft Security Update Guide.

Nach dem Rekordmonat Juli, in dem Microsoft rund 570 Schwachstellen stopfen musste, fällt der August-Patchday auf den ersten Blick etwas kleiner aus. Doch „kleiner” ist relativ: Mit über 400 behobenen Sicherheitslücken bewegt sich auch dieser Monat auf einem Niveau, das noch vor zwei Jahren als absoluter Ausnahmefall gegolten hätte. Dreistellige und mittlerweile fast vierstellige Patch-Zahlen sind zum Dauerzustand geworden.

Der Grund dafür ist strukturell und wird sich nicht mehr umkehren. Microsoft setzt inzwischen selbst auf KI-gestützte Systeme zur automatisierten Schwachstellensuche und hat angekündigt, dass genau das die Zahl der monatlichen Sicherheitsupdates dauerhaft nach oben treibt. Was der Codequalität langfristig guttut, bedeutet für Administratoren kurzfristig einen dauerhaft hohen Testaufwand.

Der eigentliche Unterschied zum Juli ist aber nicht die Menge, sondern die Brisanz einer einzelnen Lücke: Diesen Monat gibt es wieder einen Zero-Day, der bereits aktiv ausgenutzt wird, und zwar von einem staatlichen Akteur. Dieser Überblick zeigt, wo die Gefahr derzeit am größten ist und in welcher Reihenfolge Sie Ihre Systeme absichern sollten.

Die nackten Zahlen im Überblick

Bei den Gesamtzahlen lohnt ein genauer Blick, denn sie schwanken je nach Quelle erheblich. Microsoft selbst weist in seiner offiziellen Release-Note 421 Schwachstellen aus. Sicherheitsdienstleister wie Tenable kommen nach Abzug bestimmter Cloud- und Sonderfälle hingegen auf rund 398. Das ist eine reine Frage der Zählweise, die in den kommenden Tagen für unterschiedliche Zahlen in der Berichterstattung sorgen wird. Von diesen Lücken gelten 42 als kritisch, der ganz überwiegende Teil (355) als wichtig, eine einzelne als moderat. Innerhalb der kritischen Lücken dominiert erwartungsgemäß die Remotecodeausführung mit 37 Einträgen, hinzu kommen fünf kritische Rechteausweitungen. Für die Rollout-Planung hilfreich ist die Aufteilung nach Produkten: Allein 236 der Lücken entfallen auf Windows 11 und werden über das kumulative Update abgedeckt, weitere 98 auf Office (separate Office-Updates), gefolgt von SharePoint Server mit 30 und den Developer Tools mit 26.

Über alle Kategorien hinweg verteilen sich die Schwachstellen grob wie folgt: rund 176 Rechteausweitungen (Elevation of Privilege), etwa 110 Remotecodeausführungen (RCE), rund 86 Fälle von Informationsoffenlegung, 21 Spoofing-Lücken, 12 Denial-of-Service-Schwachstellen und 11 Umgehungen von Sicherheitsfunktionen. Besonders relevant sind in diesem Monat gleich drei Zero-Days: Eine davon wird bereits aktiv angegriffen, zwei weitere waren vor der Bereitstellung des Patches öffentlich bekannt.

Die kritischsten Brennpunkte im Detail

Wer diesen Patch-Zyklus überspringen möchte, sollte sich die folgende Liste genau ansehen. Mehrere Lücken betreffen zentrale Server-Rollen, die in praktisch jeder Windows-Domäne laufen: DNS-Server, DHCP und die Bereitstellungsdienste. Es folgt die detaillierte technische Aufarbeitung der wichtigsten Patches dieses Monats.

1. AFD.sys WinSock Elevation of Privilege (CVE-2026-68820)

CVSS-Score: 7,0

SCHWERWIEGENDKEIT: Hoch (aktiv ausgenutzt)

BEDROHUNG: Elevation of Privilege (Lokale Rechteausweitung auf SYSTEM)

EXPLOITS: Dies ist die einzige nachweislich aktiv ausgenutzte Schwachstelle dieses Monats und damit der wichtigste Patch überhaupt. Entdeckt und an Microsoft gemeldet wurde die Lücke von den Check-Point-Forschern Moshe Marelus und David Driker. Laut deren Analyse wurde sie im Rahmen gezielter Angriffe von der nordkoreanischen Lazarus-Gruppe eingesetzt, um über gefälschte Stellenangebote eine neue Variante des Kernel-Rootkits FudModule einzuschleusen. Auch Action1 stuft diese Schwachstelle als die mit Abstand wichtigste des gesamten Monats ein, schlicht weil die Ausnutzung bereits nachgewiesen ist. Kurios am Rande: Im CVSS-Vektor stuft Microsoft die Exploit-Reife formal als „unproven” ein, benennt die Lücke gleichzeitig aber als aktiv ausgenutzt. Diesen Widerspruch hat unter anderem die Zero Day Initiative süffisant angemerkt.

TECHNISCHE ZUSAMMENFASSUNG: Die Schwachstelle liegt im Ancillary Function Driver for WinSock (afd.sys), jenem Kernel-Treiber, der die Socket-Infrastruktur von Windows bereitstellt. Es handelt sich um einen Use-after-free-Fehler: Ein Speicherobjekt wird freigegeben und anschließend erneut referenziert. Ein lokal angemeldeter Angreifer mit niedrigen Rechten kann über eine speziell präparierte Anwendung eine Race Condition auslösen und diesen Zustand ausnutzen, um eigenen Code im Kontext des Kernels und damit mit SYSTEM-Rechten auszuführen. Eine Benutzerinteraktion ist nicht erforderlich.

AUSNUTZBARKEIT: Der Angriff setzt lokalen Zugriff und ein niedrig privilegiertes Konto voraus. Die Angriffskomplexität gilt als hoch, da der Angreifer das enge Zeitfenster der Race Condition treffen muss. Für einen staatlich unterstützten Akteur wie Lazarus ist das keine ernsthafte Hürde. Da afd.sys auf praktisch jedem Windows-System aktiv ist, ist die Angriffsfläche entsprechend groß.

AUSWIRKUNGEN AUF DAS GESCHÄFT: Diese Lücke ist der klassische zweite Baustein einer Angriffskette. Nach dem initialen Zugang, etwa über ein manipuliertes Bewerbungsdokument, hebelt der Angreifer die Rechtetrennung des Systems aus und erlangt volle SYSTEM-Rechte. Mit dem nachgeladenen FudModule-Rootkit lassen sich anschließend Endpoint-Protection und Virenschutz blenden, Treiber manipulieren und dauerhafte, schwer auffindbare Persistenz verankern. Für Kommunen und KRITIS-nahe Einrichtungen ist der spionagegetriebene Hintergrund besonders brisant.

WORKAROUND: Einen sinnvollen technischen Workaround gibt es nicht; hier hilft nur das Einspielen des Updates. Flankierend sollte das EDR-System so konfiguriert werden, dass es verdächtige Kernel-Manipulationen und ungewöhnliche Kindprozesse erkennt. Ein konsequentes Least-Privilege-Prinzip und Application Control (zur Abwehr präparierter Dokumente aus Fake-Bewerbungen) senken das Restrisiko zusätzlich.

DRINGLICHKEIT: Höchste. Als einzige aktiv ausgenutzte Lücke des Monats gehört dieser Patch mit oberster Priorität auf alle Systeme, zuerst auf exponierte und besonders gefährdete Clients.

2. Windows User Profile Service – „LegacyHive” (CVE-2026-62832)

CVSS-Score: 7,8

SCHWERWIEGENDKEIT: Hoch

BEDROHUNG: Elevation of Privilege (Rechteausweitung auf Administrator)

EXPLOITS: Die Schwachstelle war bereits vor Verfügbarkeit des Patches öffentlich bekannt. Sie entspricht dem als „LegacyHive” veröffentlichten Proof-of-Concept des Sicherheitsforschers Nightmare Eclipse, also derselben Quelle, die bereits im Juni mit ihren BitLocker- und GreenPlasma-Veröffentlichungen für Aufsehen gesorgt hatte. Microsoft stuft die Ausnutzung als „eher wahrscheinlich” ein.

TECHNISCHE ZUSAMMENFASSUNG: Ursache ist eine fehlerhafte Link-Auflösung (Improper Link Resolution / Link Following) im Windows-Benutzerprofildienst. Ein authentifizierter Angreifer, der über Zugangsdaten für ein anderes lokales Konto verfügt, kann mit einer präparierten Anwendung erzwingen, dass die Registry-Hive eines anderen Benutzers geladen wird. Über symbolische Verknüpfungen wird der Dienst dabei auf geschützte Pfade umgelenkt. Meldet sich anschließend ein Administrator an dem kompromittierten Gerät an, lassen sich auf diesem Weg Befehle mit dessen Rechten ausführen.

AUSNUTZBARKEIT: Erforderlich ist ein lokaler, authentifizierter Zugriff. Besonders relevant ist die Lücke auf Mehrbenutzer-Systemen wie Terminalservern, Citrix-Umgebungen oder geteilten Arbeitsplätzen, auf denen ohnehin mehrere Benutzerkonten existieren.

AUSWIRKUNGEN AUF DAS GESCHÄFT: Aus einem gewöhnlichen Standardbenutzer wird ein Administrator. In Kombination mit einer Phishing-Mail ergibt sich eine zuverlässige Rechteausweitung: Sobald der Angreifer einen Fuß in der Tür hat, kann er Virenschutz deaktivieren, Anmeldedaten aus dem LSASS-Speicher auslesen und sich lateral im Netzwerk ausbreiten.

WORKAROUND: Primär gilt: patchen. Flankierend helfen ein striktes Least-Privilege-Prinzip, der Verzicht auf gemeinsam genutzte Konten sowie ein Monitoring auf das ungewöhnliche Laden fremder Registry-Hives.

DRINGLICHKEIT: Hoch. Öffentlich bekannter PoC, von Microsoft als „eher wahrscheinlich” eingestuft.

3. Container Isolation FS Filter Driver (CVE-2026-72971)

CVSS-Score: 5,5

SCHWERWIEGENDKEIT: Hoch (öffentlich bekannt)

BEDROHUNG: Tampering (Lokale Manipulation)

EXPLOITS: Auch diese Lücke wurde vor Verfügbarkeit des Patches öffentlich bekannt; Microsoft schreibt die Entdeckung den Forschern „yhw & txz” zu. Anders als bei den beiden vorgenannten Zero-Days stuft Microsoft die Ausnutzung hier als „unwahrscheinlich” ein.

TECHNISCHE ZUSAMMENFASSUNG: Betroffen ist der Container Isolation FS Filter Driver (unionfs.sys), der das Overlay-Dateisystem für Windows-Container bereitstellt. Erneut liegt die Ursache in einer fehlerhaften Link-Auflösung: Über Link-Following lässt sich die Dateizugriffslogik des Treibers umlenken und für Manipulationen missbrauchen.

AUSNUTZBARKEIT: Der Angriff erfordert lokalen, authentifizierten Zugriff und ist praktisch nur auf Hosts relevant, die tatsächlich Windows-Container betreiben. Für reine Client-Arbeitsplätze ohne Container-Workloads ist das Risiko gering.

AUSWIRKUNGEN AUF DAS GESCHÄFT: In Container-Umgebungen kann die Lücke als Baustein dienen, um Dateien zu manipulieren oder Isolationsgrenzen aufzuweichen. Wo keine Container zum Einsatz kommen, ist die Angriffsfläche jedoch nicht gegeben.

WORKAROUND: Patch einspielen, insbesondere auf Container-Hosts. Umgebungen ohne Container haben hier keinen akuten Handlungsdruck.

DRINGLICHKEIT: Mittel. Öffentlich bekannt, aber als „unwahrscheinlich” eingestuft und mit stark begrenzter Angriffsfläche.

4. Windows DNS Server Remote Code Execution (CVE-2026-62878)

CVSS-Score: 9,8

SCHWERWIEGENDKEIT: Kritisch

BEDROHUNG: Remote Code Execution (RCE / wurmfähig)

EXPLOITS: Bislang wurden weder aktive Angriffe noch eine öffentliche Veröffentlichung beobachtet, und Microsoft bewertet die Ausnutzung offiziell als „unwahrscheinlich”. Die Zero Day Initiative hält diese Einschätzung allerdings für zu optimistisch, da die Lücke wurmfähig ist. In diesem Monat wurden gleich mehrere DNS-Server-RCEs geschlossen, darunter CVE-2026-62817 (Out-of-Bounds-Write, CVSS 8,8) und CVE-2026-62820 (Race Condition, CVSS 8,1). CVE-2026-62878 ist aber mit Abstand die schwerste.

TECHNISCHE ZUSAMMENFASSUNG: Es handelt sich um einen Stack-based Buffer Overflow im Windows-DNS-Server. Ein nicht authentifizierter Angreifer kann durch ein speziell präpariertes Paket an den DNS-Dienst Code mit erhöhten Rechten ausführen, ohne jede Benutzerinteraktion.

AUSNUTZBARKEIT: Der Angriff erfolgt netzwerkbasiert, ohne Anmeldung und ohne Interaktion. Entscheidend für die Tragweite: Der Windows-DNS-Server läuft in aller Regel auf den Domänencontrollern. Eine erfolgreiche Ausnutzung trifft damit direkt das Herz des Active Directory.

AUSWIRKUNGEN AUF DAS GESCHÄFT: Eine Remotecodeausführung auf einem Domänencontroller ist der Worst Case. Der Angreifer kontrolliert damit sowohl die Namensauflösung als auch das Verzeichnis selbst und kann sich praktisch beliebig domänenweit ausbreiten. Durch die Wurmfähigkeit besteht zudem die Gefahr, dass ein einmal entwickelter Exploit sich selbstständig von System zu System weiterträgt.

WORKAROUND: Höchste Priorität beim Patchen der Domänencontroller und DNS-Server. Der DNS-Dienst sollte niemals unnötig aus dem Internet erreichbar sein, und auch die interne Exposition sollte über Segmentierung so weit wie möglich reduziert werden.

DRINGLICHKEIT: Kritisch. Domänencontroller zuerst patchen.

5. Windows Deployment Services TFTP Server RCE (CVE-2026-62893)

CVSS-Score: 9,8

SCHWERWIEGENDKEIT: Kritisch

BEDROHUNG: Remote Code Execution (RCE / Remotecodeausführung)

EXPLOITS: Aktive Angriffe sind bislang nicht bekannt, allerdings stuft Microsoft die Ausnutzung als „eher wahrscheinlich” ein. Sowohl Action1 als auch die Zero Day Initiative heben diese Lücke ausdrücklich als besonders beachtenswert hervor.

TECHNISCHE ZUSAMMENFASSUNG: Die Schwachstelle ist ein Use-after-free-Fehler im TFTP-Server-Bestandteil der Windows-Bereitstellungsdienste (Windows Deployment Services, WDS). Ein nicht authentifizierter Angreifer kann durch präparierte Pakete an den TFTP-/WDS-Dienst eine Codeausführung auf dem Server auslösen.

AUSNUTZBARKEIT: Der Angriff erfolgt netzwerkbasiert und ohne Authentifizierung. Betroffen sind Umgebungen, die WDS für PXE-Boot und die automatisierte Betriebssystem-Bereitstellung einsetzen, in der öffentlichen Verwaltung und in größeren Domänen keineswegs selten.

AUSWIRKUNGEN AUF DAS GESCHÄFT: Eine Remotecodeausführung auf dem Deployment-Server ist deshalb so gefährlich, weil dieser Server Betriebssystem-Images an neue Clients verteilt. Ein kompromittierter WDS-Server eignet sich hervorragend für eine flächendeckende Kompromittierung, gewissermaßen eine Supply-Chain-Attacke innerhalb des eigenen OS-Rollouts.

WORKAROUND: Patch einspielen. Der WDS-/TFTP-Dienst sollte nicht exponiert werden; PXE-Netzsegmente gehören isoliert. Wird WDS nicht benötigt, sollte der Dienst deaktiviert werden.

DRINGLICHKEIT: Hoch bis kritisch, insbesondere überall dort, wo WDS aktiv im Einsatz ist.

6. Windows DHCP Server Remote Code Execution (CVE-2026-62823)

CVSS-Score: 8,8

SCHWERWIEGENDKEIT: Kritisch

BEDROHUNG: Remote Code Execution (RCE / Remotecodeausführung)

EXPLOITS: Aktive Angriffe sind derzeit nicht bekannt, Microsoft bewertet die Ausnutzung jedoch als „eher wahrscheinlich”.

TECHNISCHE ZUSAMMENFASSUNG: Ursache ist ein Heap-based Buffer Overflow im Windows-DHCP-Server. Ein nicht authentifizierter Angreifer im benachbarten Netzwerk kann durch ein manipuliertes Paket eine Codeausführung auslösen. Ergänzend hat Microsoft in diesem Monat 13 weitere, jeweils als „wichtig” eingestufte DHCP-Server-Lücken geschlossen, darunter acht Schwachstellen zur Informationsoffenlegung (CVSS 6,5) und fünf Rechteausweitungen (CVSS 7,8).

AUSNUTZBARKEIT: Der Angriff setzt einen Standort im benachbarten Netzsegment voraus, benötigt aber keine Authentifizierung. Da der DHCP-Server-Dienst üblicherweise auf zentraler Server-Infrastruktur betrieben wird, nicht selten auf einem Domänencontroller, ist die Tragweite erheblich.

AUSWIRKUNGEN AUF DAS GESCHÄFT: Eine Remotecodeausführung auf dem DHCP-Server bringt einen zentralen Netzdienst unter die Kontrolle des Angreifers. Von dort aus lässt sich die weitere Ausbreitung im Netzwerk vorbereiten, bis hin zur vollständigen Kompromittierung der Server-Infrastruktur.

WORKAROUND: Patch einspielen und den Zugriff auf den DHCP-Dienst konsequent auf vertrauenswürdige Netzsegmente beschränken.

DRINGLICHKEIT: Hoch.

Weitere kritische Schwachstellen im Überblick

Neben den sechs ausführlich behandelten Lücken lohnt ein Blick auf mehrere weitere kritische Schwachstellen, die alle über das Netzwerk und ohne Authentifizierung angreifbar sind. Die Microsoft QUIC Remote Code Execution (CVE-2026-62815) und die Windows iSCSI Target Service Remote Code Execution (CVE-2026-65791) erreichen ebenfalls jeweils einen CVSS-Score von 9,8. Action1 weist bei der QUIC-Lücke ausdrücklich darauf hin, dass exponierte, verwundbare Dienste ein erhebliches Risiko darstellen, da weder Authentifizierung noch Benutzerinteraktion erforderlich sind. Bei den Active Directory Certificate Services wurde mit CVE-2026-62818 eine kritische RCE geschlossen (CVSS 8,8, Use-after-free), für alle Betreiber einer eigenen PKI ein Pflicht-Patch.

Aufmerksamkeit verdient auch SharePoint. CVE-2026-65665 (CVSS 8,8, Deserialisierung nicht vertrauenswürdiger Daten) ist als „eher wahrscheinlich” eingestuft. Das wiegt schwer, denn bereits die aktiv ausgenutzte SharePoint-RCE des Vormonats wurde genutzt, um Machine Keys von On-Premises-Servern zu stehlen. Bei Exchange sticht CVE-2026-62911 heraus, eine kritische Rechteausweitung über einen Authentifizierungs-Bypass (CVSS 8,0). Action1 skizziert das Schadenspotenzial drastisch: Aus dem Zugriff auf ein einzelnes Exchange-Konto könne die Kontrolle über sämtliche Postfächer werden, samt E-Mails, Anhängen und vertraulichem Schriftverkehr. Ebenfalls beachtenswert ist eine kritische Office-RCE (CVE-2026-64898, Heap-based Buffer Overflow): Hier genügt bereits die Anzeige einer präparierten Datei im Vorschaufenster (Preview Pane), ein Klick zum Öffnen ist nicht nötig. Hinzu kommen kritische RCEs in der Grafik-Komponente (GDI+, CVE-2026-62822) sowie in der Device Health Attestation (CVE-2026-71331, CVE-2026-66802).

Ein interessanter Sonderfall ist der High Performance Computing (HPC) Pack (CVE-2026-59124): technisch ein CVSS-9,8-Fehler und als „eher wahrscheinlich” eingestuft, aber nur als „wichtig” klassifiziert, weil HPC nicht standardmäßig aktiv ist. Wer HPC einsetzt, sollte diese Lücke dennoch nicht auf die lange Bank schieben. Bemerkenswert ist außerdem, dass gleich drei Schwachstellen im AFD.sys-WinSock-Treiber behoben wurden. Der Treiber hat sich zu einem verlässlichen Einfallstor für Rechteausweitungen entwickelt.

Auch abseits von Microsoft war der August ein arbeitsreicher Monat. Die schwerste Lücke überhaupt fand sich bei SAP: eine Autorisierungsschwachstelle im Data Hub Adapter der SAP Commerce Cloud (CVE-2026-58231) mit dem Höchstwert CVSS 10,0. Hinzu kamen weitere kritische SAP-Fixes, darunter eine Code-Injection in Manufacturing Integration and Intelligence (CVE-2026-44772, CVSS 9,9). N-able patchte eine bereits aktiv ausgenutzte Authentifizierungs-Umgehung in N-central, Metabase eine aktiv ausgenutzte SQL-Injection. Dazu kamen Updates von Adobe, Cisco (unter anderem ClamAV), VMware (Avi Load Balancer) und TP-Link (Omada).

Patchmanagement im Zeitalter von KI: Die Spielregeln ändern sich

Der August bestätigt, was sich seit Monaten abzeichnet: Manuelles Patchmanagement „mal eben am Wochenende” ist endgültig Geschichte. Wenn Microsoft selbst KI einsetzt, um Schwachstellen schneller zu finden, dann tun Angreifer das erst recht. Sie nutzen dieselbe Technologie, um veröffentlichte Patches per Reverse Engineering in kürzester Zeit zu analysieren und passende Exploits zu bauen. Das Zeitfenster zwischen Veröffentlichung und aktiver Ausnutzung schrumpft rasant, wie die AFD.sys-Lücke in diesem Monat einmal mehr zeigt.

Für Organisationen, gerade in der öffentlichen Verwaltung und im KMU-Umfeld, ist ein strukturierter, automatisierter und priorisierter Rollout-Prozess damit keine Kür mehr, sondern überlebenswichtig. Nicht zuletzt die verschärften Anforderungen der NIS-2-Richtlinie machen einen nachweisbaren, dokumentierten Patch-Prozess zur Pflicht.

Handlungsempfehlungen für Ihre IT-Infrastruktur

Priorisieren Sie in diesem Monat zuerst Ihre zentrale Server-Infrastruktur. Die kritischen RCE-Lücken in DNS-Server, DHCP-Server und den Bereitstellungsdiensten betreffen Rollen, die typischerweise auf Ihren Domänencontrollern und zentralen Servern laufen. Ein kompromittierter DC bedeutet den Verlust der gesamten Domäne. Diese Systeme gehören daher an den Anfang jeder Rollout-Welle.

Kümmern Sie sich unmittelbar danach um die aktiv ausgenutzte AFD.sys-Zero-Day-Lücke auf Ihren Clients. Da diese Schwachstelle bereits nachweislich für Angriffe verwendet wird, sollten insbesondere exponierte und risikobehaftete Endgeräte zeitnah abgesichert werden. Ein reines „Später erledigen wir das im normalen Zyklus” ist bei einer aktiv ausgenutzten Lücke keine vertretbare Option.

Führen Sie den Rollout trotz der Dringlichkeit unbedingt in kontrollierten Wellen durch. Bei über 400 Schwachstellen und dem entsprechend großen Umfang an Codeänderungen ist das Risiko von Kompatibilitätsproblemen erhöht. Testen Sie die Updates zuerst auf einer repräsentativen Gruppe von Testgeräten, bevor Sie sie in der Fläche verteilen. Die Priorisierung nach Kritikalität und die schnelle Verteilung dürfen nicht zu Lasten der Betriebsstabilität gehen.

Verifizieren Sie zuletzt den tatsächlichen Update-Status. Verlassen Sie sich nicht allein auf die Standardanzeige von Windows Update, sondern nutzen Sie professionelle Asset- und Compliance-Werkzeuge, um sicherzustellen, dass die KB-Stände auf allen Systemen lückenlos aktiv sind. Gerade bei den serverseitigen Lücken zählt jeder ungepatchte Host.

Neuerungen abseits der Sicherheit

Neben den reinen Sicherheitsfixes bringt das August-Update auch die Funktionsneuerungen des optionalen Juli-Vorschauupdates in die Fläche und erreicht mit dem Pflichtupdate nun alle Nutzer. Die sichtbarste Änderung betrifft den Datei-Explorer: Dateigrößen werden endlich nicht mehr ausschließlich in Kilobyte angezeigt, sondern je nach Umfang auch in Megabyte und Gigabyte. Zusätzlich lassen sich Ordner jetzt per mittlerer Maustaste direkt als neuer Tab im selben Fenster öffnen, und auch die Dateivorschau wurde überarbeitet.

Darüber hinaus verbessert Microsoft die Windows-Suche, die nun auch bei unklaren oder fehlerhaften Eingaben treffsicherer arbeitet und erstmals Dateinamen mit nur zwei Zeichen unterstützt. Windows Hello Enhanced Sign-in Security (ESS) unterstützt ab sofort kompatible externe Fingerabdruckleser, für Umgebungen mit biometrischer Anmeldung eine praktische Erweiterung. Und die Sprachsteuerung Voice Access erhält mit „Voice Isolation” eine Funktion, die Hintergrundgeräusche und fremde Stimmen herausfiltert, um Sprachbefehle zuverlässiger zu erkennen. Wie immer bündeln die Updates zudem neue Secure-Boot-Zertifikate, deren Verteilung sich über die kommenden Monate erstreckt.

Exchange Server: ein separates Sicherheitsupdate

Für Exchange Server liefert Microsoft am August-Patchday wie üblich ein eigenständiges Sicherheitsupdate aus, das unabhängig von den kumulativen Windows-Updates eingespielt werden muss. Das August-SU schließt sieben Schwachstellen in Exchange Server, von denen Microsoft genau eine als kritisch einstuft: die bereits erwähnte Rechteausweitung CVE-2026-62911 (CVSS 8,0). Aktiv ausgenutzt wird nach aktuellem Stand keine der sieben Lücken.

Bereitgestellt werden die Updates für Exchange Server 2016, Exchange Server 2019 sowie die Exchange Server Subscription Edition (SE). Exchange Online ist bereits geschützt. Hier besteht kein Handlungsbedarf, abgesehen von der Aktualisierung vorhandener On-Premises-Server und der Workstations mit den Exchange-Verwaltungstools. Wichtig für Bestandsumgebungen: Für Exchange 2016 und 2019 gibt es die Updates ausschließlich über das kostenpflichtige ESU-Programm (Phase 2). Wer dort keine Lizenz gebucht hat, erhält das August-SU nicht und verbleibt sicherheitstechnisch auf dem Stand von Juli 2025, ein weiterer deutlicher Fingerzeig, den Umstieg auf Exchange Server SE einzuplanen.

Für das August-Update selbst sind bislang keine Probleme bekannt. Bestehen bleibt allerdings ein bereits mit dem Juni-SU eingeführtes Verhalten: In Hybrid-Umgebungen können nach dessen Installation sogenannte Wrapper-Nachrichten in Shared Mailboxes auftauchen; Microsoft führt dies weiterhin als bekanntes Problem. Wer eine Hybrid-Konfiguration betreibt, sollte nach der Installation ein Auge darauf haben. Wie bei jedem Exchange-SU gilt außerdem: Das Update über eine administrative Eingabeaufforderung installieren, um unvollständige Installationen durch fehlende Berechtigungen zu vermeiden.

Wer mehrere Exchange-Server betreibt, sollte den Patchday ohnehin zum Anlass nehmen, den Exchange Health Checker laufen zu lassen. Das Skript zeigt neben dem Patchstand auch gleich, ob noch manuelle Schritte offen sind. Seit dem Juli-2026-Update prüft es zusätzlich, ob die längst abgekündigten Sicherheitsgruppen Exchange Domain Servers und Exchange Enterprise Servers noch im Active Directory existieren. Beide stammen aus Zeiten von Exchange 2000/2003, werden seit Exchange 2007 nicht mehr verwendet und liegen in über Jahre gewachsenen Umgebungen häufig noch in der OU „Users”. Das ist ausdrücklich kein reines Aufräumthema: Die Gruppen besitzen im Active Directory teils weitreichende Berechtigungen wie Write All Properties, ListChildren oder vereinzelt WriteDacl auf OUs und Domänenobjekten, deutlich mehr, als die aktuellen Exchange-Sicherheitsgruppen benötigen. Solange sie existieren, sind sie ein lohnendes Angriffsziel: Wer ihre Mitgliedschaft manipulieren kann, erbt diese Altrechte gleich mit. Microsoft empfiehlt daher, die Gruppen zu entfernen, und zwar selbst dann, wenn der letzte On-Premises-Exchange bereits abgebaut wurde.

Update-Pakete für Windows-Clients und -Server

Die folgende Übersicht fasst die kumulativen Updates dieses Patchdays für die noch unterstützten Windows-Versionen zusammen. Alle Pakete sind kumulativ und enthalten sämtliche Sicherheitsfixes bis zum Patchday.

Zu beachten: Windows 10 22H2 ist seit Oktober 2025 aus dem regulären Support gefallen; Sicherheitsupdates gibt es nur noch im Rahmen des ESU-Programms. Für Windows Server 2012/R2 ist ebenfalls eine ESU-Lizenz erforderlich, und Windows Server 23H2 hat den Support im Mai 2026 verlassen.

Ausgewählte kritische Sicherheitsupdates vom Patch Tuesday im August 2026

Die folgende Tabelle listet eine Auswahl der wichtigsten kritischen Schwachstellen dieses Monats. Die vollständige Liste aller rund 400 behobenen CVEs finden Sie im Microsoft Security Update Guide sowie in der Gesamtübersicht bei BleepingComputer.

Hinweis: Diese Tabelle stellt eine kuratierte Auswahl dar und erhebt keinen Anspruch auf Vollständigkeit. Maßgeblich ist stets der offizielle Microsoft Security Update Guide.

Der Microsoft Patchday im Juni 2026 bricht Rekorde, allerdings auf eine Weise, die IT-Abteilungen erhebliche Kopfschmerzen bereiten dürfte. Mit rund 200 behobenen Schwachstellen hat Microsoft den bisherigen Höchstwert aus dem Oktober 2025 regelrecht pulverisiert. Zählt man die Edge- und Drittanbieter-Patches hinzu, stehen Administratoren vor einem gewaltigen Berg von insgesamt 571 Sicherheitsfixes.

Hinter diesem plötzlichen Anstieg der Zahlen steht eine strukturelle Veränderung in der IT-Welt. Die automatisierte Schwachstellensuche durch künstliche Intelligenz hat auf beiden Seiten massiv an Fahrt aufgenommen. Sowohl unabhängige Sicherheitsforscher als auch Microsoft selbst decken Sicherheitslücken heute in einem beispiellosen Tempo auf. Dreistellige Patch-Zahlen pro Monat werden damit dauerhaft zum Standard für Systemadministratoren.

Unser detaillierter Überblick zeigt, auf welchen Systemen die Bedrohung aktuell am größten ist und wie Sie Ihre IT-Infrastruktur wirksam vor Angriffen schützen.

Die nackten Zahlen im Überblick

In der aktuellen Veröffentlichung listet Microsoft offiziell 198 eigene Schwachstellen auf, während externe Quellen von bis zu 206 einzigartigen Sicherheitslücken sprechen. Unter diesen Schwachstellen stuft der Hersteller 32 Sicherheitslücken als kritisch ein, wobei vor allem die Remotecodeausführungen das größte Risiko bergen. Zudem machten den Sicherheitsforschern drei bereits im Vorfeld öffentlich bekannte Zero-Day-Lücken Sorge. Gleich drei unauthentifizierte Schwachstellen zur Remotecodeausführung erreichen diesen Monat mit einem CVSS-Score von 9,8 die höchste Risikobewertung.

Die kritischsten Brennpunkte im Detail

Wer gehofft hatte, diesen Patch-Zyklus ohne größere Anpassungen durchlaufen zu können, muss umplanen. Mehrere Lücken betreffen fundamentale Dienste der Windows-Architektur. Es folgt die detaillierte technische Aufarbeitung der wichtigsten Patches dieses Monats.

1. BitLocker-Bypass YellowKey (CVE-2026-45585 / CVE-2026-50507)

CVSS-Score: 6,8

SCHWERWIEGENDKEIT: Hoch

BEDROHUNG: Security Feature Bypass (Umgehung von Sicherheitsfunktionen)

EXPLOITS: Die Schwachstelle ist öffentlich bekannt. Das kontroverse Sicherheitsforscher-Kollektiv Nightmare Eclipse hat einen voll funktionsfähigen Proof-of-Concept-Exploit publiziert, um gegen die Vergabepraxis von Microsofts Bug-Bounty-Programm zu protestieren.

TECHNISCHE ZUSAMMENFASSUNG: Der Fehler betrifft die Kommunikation zwischen der Windows-Wiederherstellungsumgebung (WinRE) und dem BitLocker-Verschlüsselungsmechanismus während des Systemstarts. Angreifer können manipulierte Konfigurationsdateien auf einem FAT32-formatierten USB-Laufwerk oder direkt in der unverschlüsselten EFI-Systempartition ablegen. Beim Booten in die WinRE-Umgebung sorgt eine Timing-Schwachstelle in Kombination mit einer physischen Tastenkombination wie dem Drücken der STRG-Taste dafür, dass der Boot-Manager eine ungesicherte Befehlszeile mit SYSTEM-Rechten öffnet. Da dieser Zugriff erfolgt, während die BitLocker-Schlüssel bereits durch das Trusted Platform Module im Arbeitsspeicher freigegeben wurden, erhält der Angreifer direkten Lese- und Schreibzugriff auf das verschlüsselte Laufwerk.

AUSNUTZBARKEIT: Ein erfolgreicher Angriff setzt physischen oder direkten lokalen Zugriff auf das Gerät voraus. Anmeldedaten oder eine aktive Benutzersitzung sind nicht erforderlich. Die Ausnutzung ist zuverlässig und lässt sich über ein vorbereitetes USB-Medium innerhalb weniger Sekunden automatisieren. Besonders gefährdet sind Systeme, die standardmäßig auf eine reine TPM-Verschlüsselung setzen und beim Starten keine PIN-Eingabe verlangen.

AUSWIRKUNGEN AUF DAS GESCHÄFT: Das Risiko für Notebooks im Außendienst und Homeoffice ist extrem hoch. Bei Verlust oder Diebstahl eines Geräts bietet die BitLocker-Verschlüsselung keinen wirksamen Schutz mehr für sensible Unternehmensdaten. Angreifer können geistiges Eigentum kopieren, Schadcode direkt in die Systempartition schreiben oder Spionage-Software installieren. Aus Sicht der DSGVO erlischt bei einem Geräteverlust der Schutzstatus der sicheren Verschlüsselung, was den Vorfall sofort meldepflichtig macht.

WORKAROUND: Die wirksamste Sofortmaßnahme ist das Erzwingen einer BitLocker-Pre-Boot-Authentifizierung mittels Gruppenrichtlinie. Der Pfad hierzu lautet Computerkonfiguration, Administrative Vorlagen, Windows-Komponenten, BitLocker-Laufwerkverschlüsselung, Betriebssystemlaufwerke, Zusätzliche Authentifizierung beim Start anfordern. Dadurch wird beim Booten zwingend eine PIN oder ein Startschlüssel verlangt. Alternativ lässt sich die Windows-Wiederherstellungsumgebung auf gefährdeten Systemen über den Befehl reagentc /disable in der Eingabeaufforderung komplett abschalten.

DRINGLICHKEIT: Sehr hoch für alle mobilen Endgeräte, die außerhalb des geschützten Firmennetzwerks betrieben werden.

2. HTTP.sys Remote Code Execution (CVE-2026-47291)

CVSS-Score: 9,8

SCHWERWIEGENDKEIT: Kritisch

BEDROHUNG: Remote Code Execution (RCE / Remotecodeausführung)

EXPLOITS: Bisher wurden keine aktiven Angriffe beobachtet, allerdings stuft Microsoft die Ausnutzung im realen Betrieb als wahrscheinlich ein. Es ist davon auszugehen, dass Cyberkriminelle den Patch durch Reverse Engineering analysieren, um zeitnah funktionierende Exploits zu entwickeln.

TECHNISCHE ZUSAMMENFASSUNG: Die Schwachstelle befindet sich im Kernelmodus-Treiber http.sys, der für die Verarbeitung eingehender HTTP-Anfragen in Windows zuständig ist. Ein Integer-Underflow-Speicherfehler tritt auf, wenn der Treiber speziell manipulierte, tief verschachtelte oder fehlerhafte HTTP-Header verarbeitet, insbesondere im Zusammenhang mit Chunked-Transfer-Encoding. Ein Angreifer kann ein präpariertes TCP-Paket an einen offenen HTTP-Port senden, wodurch der Treiber im nicht-ausgelagerten Kernel-Pool falsche Speicherbereiche überschreibt. Dies ermöglicht das Ausführen von beliebigem Schadcode im Kontext von NT AUTHORITY\SYSTEM, ohne dass eine Interaktion auf Anwendungsebene im IIS-Prozess stattfinden muss.

AUSNUTZBARKEIT: Die Lücke lässt sich extrem einfach und ohne vorherige Authentifizierung über das Netzwerk ausnutzen. Jedes System, das Internet Information Services, Exchange Server, SQL Server Reporting Services oder andere Webdienste betreibt, die an den HTTP-Stack von Windows gekoppelt sind, ist über Port 80 oder 443 direkt angreifbar.

AUSWIRKUNGEN AUF DAS GESCHÄFT: Ein erfolgreicher Angriff führt zur sofortigen und vollständigen Übernahme des betroffenen Webservers oder Exchange-Systems. Da der Schadcode direkt im Kernel-Bereich ausgeführt wird, können installierte Endpoint-Protection-Systeme sofort manipuliert oder deaktiviert und Log-Dateien gelöscht werden. Angreifer können Daten abziehen, Datenbanken verschlüsseln und den Server als Basis nutzen, um sich weiter im internen Unternehmensnetzwerk auszubreiten.

WORKAROUND: Als temporäre Schutzmaßnahme sollten externe Firewalls oder Web Application Firewalls so konfiguriert werden, dass sie eingehenden HTTP-Verkehr streng prüfen und fehlerhafte Header-Strukturen verwerfen. Zudem sollte der Registrierungswert MaxRequestBytes unter HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\HTTP\Parameters auf dem Standardwert verbleiben oder restriktiver konfiguriert werden, um die maximale Paketgröße für Header zu begrenzen.

DRINGLICHKEIT: Kritisch, das sofortige Patchen aller Webserver und Exchange-Systeme hat oberste Priorität.

3. DHCP-Client Remote Code Execution (CVE-2026-44815)

CVSS-Score: 9,8

SCHWERWIEGENDKEIT: Kritisch

BEDROHUNG: Remote Code Execution (RCE / Remotecodeausführung)

EXPLOITS: Derzeit sind keine aktiven Exploits bekannt, das Bedrohungspotenzial für Angriffe innerhalb lokaler Netzwerke ist jedoch extrem hoch.

TECHNISCHE ZUSAMMENFASSUNG: Im Windows-DHCP-Client-Dienst dhcpcore.dll existiert eine unzureichende Validierung eingehender DHCP-Lease-Antwortpakete. Wenn ein Windows-System im Netzwerk nach einer IP-Adresse sucht, kann ein Angreifer mit einem gefälschten DHCP-Server antworten. Durch das Senden eines präparierten DHCP-Offer- oder ACK-Pakets, das überdimensionierte oder ungültige Optionsfelder enthält, wird im DHCP-Client-Prozess ein Heap-basierter Pufferüberlauf ausgelöst. Da der DHCP-Client mit SYSTEM-Rechten läuft, führt dieser Überlauf zur Ausführung von Schadcode, noch bevor das Betriebssystem die IP-Konfiguration abgeschlossen hat.

AUSNUTZBARKEIT: Die Schwachstelle ist sehr leicht ausnutzbar, erfordert jedoch, dass sich der Angreifer im selben physischen oder logischen Netzwerksegment wie das Opfer befindet. Da der DHCP-Client auf nahezu jedem Windows-System standardmäßig aktiv ist, ist die Angriffsfläche enorm groß. Selbst wenn auf Servern statische IP-Adressen konfiguriert sind, bleibt der Dienst für die DHCPv6-Verarbeitung und Autokonfiguration aktiv.

AUSWIRKUNGEN AUF DAS GESCHÄFT: Die Schwachstelle ermöglicht Angreifern ein hochgradig gefährliches seitliches Eindringen in das Netzwerk. Sobald ein einzelnes Gerät im Firmennetzwerk kompromittiert ist, kann der Angreifer einen gefälschten DHCP-Server starten und jedes andere Windows-System im selben Subnetz infizieren. Besonders gefährdet sind Mitarbeiter, die sich mit ihren Geschäfts-Notebooks in öffentlichen oder ungesicherten WLAN-Netzen in Hotels oder Zügen aufhalten.

WORKAROUND: In Unternehmensnetzwerken sollte DHCP Snooping auf allen verwalteten Switchen aktiviert werden. Dies stellt sicher, dass DHCP-Antwortpakete nur von explizit autorisierten Switch-Ports weitergeleitet werden, an denen legitime DHCP-Server angeschlossen sind. Für Außendienstmitarbeiter sollte ein Always-On-VPN erzwungen werden, das jeglichen lokalen Netzwerkverkehr blockiert, bevor der VPN-Tunnel sicher aufgebaut wurde.

DRINGLICHKEIT: Sehr hoch, besonders kritisch für flache Netzwerke und mobile Endgeräte.

4. Windows Kernel TCP/IP Remote Code Execution (CVE-2026-45657)

CVSS-Score: 9,8

SCHWERWIEGENDKEIT: Kritisch

BEDROHUNG: Remote Code Execution (RCE / Wurmfähige Schwachstelle)

EXPLOITS: Es sind keine aktiven Angriffe dokumentiert, allerdings besitzt die Lücke das Potenzial für einen sich selbst verbreitenden Exploit, ähnlich wie bei den Mechanismen von WannaCry.

TECHNISCHE ZUSAMMENFASSUNG: Die Schwachstelle befindet sich im Windows-Kernel-Netzwerktreiber tcpip.sys und beruht auf einem Out-of-Bounds-Schreibfehler bei der Verarbeitung von speziell fragmentierten IPv6-Paketen oder komplexen IPv4-Optionsfeldern. Wenn der Netzwerktreiber versucht, die ankommenden Datenpakete im Speicher wieder zusammenzusetzen, kommt es aufgrund fehlerhafter Längenprüfungen zu einer Speicherüberschreibung im Kernel-Pool. Ein Angreifer kann dadurch Schadcode direkt mit den höchsten Rechten des Betriebssystems auf Kernel-Ebene ausführen, ohne dass ein Dienst im Benutzermodus involviert sein muss.

AUSNUTZBARKEIT: Für den Angriff ist weder eine Benutzerinteraktion noch eine Authentifizierung erforderlich. Der Angriff erfolgt direkt auf der untersten Netzwerkprotokollebene. Es muss kein bestimmter Port oder Dienst am Zielsystem geöffnet sein, es genügt, wenn die Netzwerkkarte des Opfers die bösartigen TCP/IP-Pakete empfängt und verarbeitet.

AUSWIRKUNGEN AUF DAS GESCHÄFT: Das Bedrohungsszenario ist schwerwiegend. Da die Schwachstelle wurmfähig ist, kann sich ein einmal entwickelter Exploit vollautomatisch von einem infizierten System zum nächsten durch das gesamte Netzwerk verbreiten. Innerhalb weniger Minuten könnte eine Ransomware-Welle ein komplettes Firmennetzwerk lahmlegen, Active Directories kompromittieren und Backups löschen.

WORKAROUND: Wenn IPv6 im lokalen Netzwerk nicht zwingend benötigt wird, kann das Deaktivieren von IPv6 an den Netzwerkkarten eine Teillösung bieten. Microsoft rät jedoch davon ab, da viele interne Windows-Dienste IPv6 voraussetzen. Eine robustere Maßnahme ist eine strikte Netzwerksegmentierung über Firewalls und das Blockieren von fragmentiertem ICMPv6- und Raw-IP-Verkehr an den internen Netzwerkgrenzen.

DRINGLICHKEIT: Kritisch, das sofortige Einspielen der kumulativen Windows-Updates auf allen Systemen ist zwingend erforderlich.

5. HTTP/2 Denial of Service HTTP/2 Bomb (CVE-2026-49160)

CVSS-Score: 7,5

SCHWERWIEGENDKEIT: Hoch

BEDROHUNG: Denial of Service (DoS / Serverabsturz durch Ressourcenerschöpfung)

EXPLOITS: Die Schwachstelle ist öffentlich bekannt. Die IT-Sicherheitsfirma Calif. hat die technische Funktionsweise dieser Schwachstelle im Detail analysiert und publiziert.

TECHNISCHE ZUSAMMENFASSUNG: Die HTTP/2 Bomb nutzt eine konzeptionelle Schwachstelle im HPACK-Komprimierungsalgorithmus des HTTP/2-Protokolls aus. HPACK komprimiert HTTP-Header, um Bandbreite zu sparen. Ein Angreifer sendet extrem kleine HTTP/2-Frames, die so konstruiert sind, dass sie sich beim Dekomprimieren auf dem Webserver auf eine gigantische Datenmenge aufblähen, vergleichbar mit einer klassischen Zip-Bombe. Der HTTP.sys-Treiber wird gezwungen, riesige Mengen an RAM und CPU-Leistung bereitzustellen, um diese unendlichen Header-Daten zu verarbeiten. Durch die gezielte Manipulation von Flow-Control-Frames kann der Angreifer zudem verhindern, dass der Server diesen belegten Speicher wieder freigibt.

AUSNUTZBARKEIT: Der Angriff ist sehr einfach und mit minimalem Bandbreitenaufwand für den Angreifer realisierbar. Jeder Webserver, jede Web-API oder jedes Portal, das HTTP/2-Verbindungen über den Windows HTTP-Stack akzeptiert, ist direkt aus dem Internet angreifbar. Eine Anmeldung ist nicht erforderlich.

AUSWIRKUNGEN AUF DAS GESCHÄFT: Der Server erleidet eine massive Ressourcenerschöpfung, friert ein oder stürzt mit einem Blue Screen ab. Für Unternehmen, die Online-Shops, Kundenportale oder geschäftskritische Web-APIs betreiben, führt dies zu unvorhergesehenen Ausfallzeiten, verletzten Service-Level-Agreements, direktem Umsatzverlust und erheblichen Reputationsschäden.

WORKAROUND: Microsoft hat mit diesem Patchday eine neue Sicherheitssteuerung in die Registry integriert. Administratoren können die maximale Anzahl an erlaubten Headern pro HTTP/2- und HTTP/3-Verbindung limitieren. Erstellen Sie hierzu unter dem Pfad HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\HTTP\Parameters einen neuen DWORD-Wert mit dem Namen MaxHeadersCount und setzen Sie diesen auf einen restriktiven Wert wie 100 dezimal, wie in KB5102602 beschrieben. Alternativ kann HTTP/2 im IIS temporär deaktiviert werden, wodurch der Server auf das ältere HTTP/1.1 zurückfällt.

DRINGLICHKEIT: Hoch, insbesondere für alle internetseitig erreichbaren Web- und Anwendungsserver.

6. GreenPlasma (CVE-2026-45586)

CVSS-Score: 7,8

SCHWERWIEGENDKEIT: Hoch

BEDROHUNG: Privilege Escalation (Lokale Rechteausweitung)

EXPLOITS: Die Schwachstelle ist öffentlich bekannt. Der Exploit-Code wurde im Zuge der Veröffentlichungen von Nightmare Eclipse ins Netz gestellt.

TECHNISCHE ZUSAMMENFASSUNG: Die Schwachstelle betrifft das Windows Collaborative Translation Framework, das oft mit dem Prozess ctfmon.exe assoziiert wird und für Texteingaben und Sprachunterstützung zuständig ist. Es handelt sich um einen Fehler bei der Link-Auflösung. Ein Angreifer mit einem unprivilegierten Benutzerkonto kann im Dateisystem symbolische Verknüpfungen erstellen, die auf geschützte Systemverzeichnisse verweisen. Wenn der CTF-Dienst versucht, temporäre Übersetzungsdaten in den Benutzerpfad zu schreiben, folgt er dem präparierten Link und überschreibt oder modifiziert Systemdateien mit vollen SYSTEM-Rechten.

AUSNUTZBARKEIT: Der Angriff setzt lokalen Zugriff voraus. Der Angreifer muss in der Lage sein, Code auf dem System auszuführen, entweder als lokaler Standardbenutzer, über eine RDP-Sitzung oder durch ein zuvor eingeschleustes, niedrig privilegiertes Schadprogramm. Der Exploit ist extrem zuverlässig und liefert dem Angreifer sofort eine interaktive Eingabeaufforderung als SYSTEM.

AUSWIRKUNGEN AUF DAS GESCHÄFT: Lokale Sicherheitsbarrieren werden komplett ausgehebelt. Sobald ein Angreifer, beispielsweise über eine Phishing-Mail, einen Fuß in der Tür hat, kann er sich mithilfe dieser Lücke administrative Rechte verschaffen. Er kann Antiviren-Dienste beenden, Passwörter aus dem LSASS-Speicher auslesen und Ransomware im gesamten System ausführen.

WORKAROUND: Es gibt keinen direkten Registry-Schalter, um das CTF-Framework abzuschalten, ohne die Tastatureingabe von Windows massiv zu beeinträchtigen. Administratoren sollten sicherstellen, dass unprivilegierte Benutzer keine unbekannten ausführbaren Dateien in beschreibbaren Verzeichnissen wie %temp% starten dürfen, was sich über AppLocker konfigurieren lässt. Zudem sollte das EDR-System so eingestellt werden, dass es verdächtige Kindprozesse, die direkt von ctfmon.exe gestartet werden, sofort blockiert.

DRINGLICHKEIT: Hoch, besonders kritisch auf Terminalservern, Citrix-Umgebungen und Systemen, die von mehreren Benutzern geteilt werden.

Patchmanagement im Zeitalter von KI: Die Spielregeln ändern sich

Die schiere Masse an Patches in diesem Monat zeigt deutlich, dass das manuelle Patchmanagement am Wochenende endgültig der Vergangenheit angehört. Sicherheitsverantwortliche können nicht mehr darauf hoffen, jeden Monat einfach schnell alles einzuspielen, ohne die Betriebsstabilität zu gefährden. KI-gestützte Tools erleichtern es Angreifern zudem, veröffentlichte Patches extrem schnell mittels Reverse Engineering zu analysieren und passende Exploits zu bauen. Das Zeitfenster zwischen der Veröffentlichung eines Patches und seiner aktiven Ausnutzung schrumpft rasant. Für Unternehmen ist ein strukturierter, automatisierter und priorisierter Rollout-Prozess mittlerweile überlebenswichtig, besonders im Hinblick auf die strengen gesetzlichen Vorgaben der NIS-2-Richtlinie.

Handlungsempfehlungen für Ihre IT-Infrastruktur

Zur Absicherung Ihrer Systeme sollten Sie Webserver und Endpunkte konsequent priorisieren. Patchen Sie Systeme mit öffentlich erreichbaren IIS-Instanzen wegen des HTTP.sys-Fehlers sowie zentrale Infrastruktur-Server wie Active Directory und DHCP zuerst.

Danach empfiehlt sich eine genaue Überprüfung der HTTP.sys-Konfiguration. Nutzen Sie PowerShell, um zu verifizieren, ob Ihre Webserver von den neuen Header-Limits Gebrauch machen und ob abweichende Registrierungswerte vorliegen.

Führen Sie den Rollout der Updates unbedingt in Wellen durch. Aufgrund der enormen Menge an Codeänderungen in diesem Monat ist das Risiko von Kompatibilitätsproblemen stark erhöht. Testen Sie die Updates zuerst auf einer repräsentativen Gruppe von Testgeräten, bevor Sie die Aktualisierungen in der gesamten Umgebung verteilen.

Zuletzt sollten Sie den tatsächlichen Update-Status verifizieren. Verlassen Sie sich nicht blind auf die Standard-Anzeige von Windows Update, sondern nutzen Sie professionelle Asset- und Compliance-Schnittstellen, um sicherzustellen, dass die KB-Stände auf allen Systemen lückenlos aktiv sind.

Sicherheitsupdates vom Patch Tuesday im Juni 2026

Nachfolgend finden Sie die vollständige Liste der behobenen Sicherheitslücken in den Updates vom Patch Tuesday im Juni 2026.

Der Mai-Patchday 2026 markiert mit insgesamt 120 behobenen Schwachstellen einen der volumenreichsten Monate des laufenden Jahres. Während die Nachricht “Kein Zero-Day” in der Community für ein kurzes Aufatmen sorgt, offenbart der Blick in die Details eine komplexe Bedrohungslage. Insbesondere die Häufung von Remote Code Execution (RCE) Lücken in Kernkomponenten erfordert schnelles Handeln.

Hier ist unsere detaillierte Analyse der wichtigsten Sicherheitsupdates für diesen Monat.

Die Statistik des Monats

Das Gesamtvolumen ist im Vergleich zum Vormonat leicht gestiegen. Die Verteilung zeigt deutlich, wo Microsoft aktuell die größten Risiken sieht:

• Elevation of Privilege (EoP): 28
• Gesamtanzahl der Fixes: 120
• Kritische Einstufung (Critical): 9
• Wichtige Einstufung (Important): 111
• Zero-Day-Lücken: 0
• Remote Code Execution (RCE): 42 (fast ein Drittel aller Fixes!)

CVE-2026-42898 – Sicherheitslücke bei Microsoft Dynamics 365 On-Premises, die die Ausführung von Remote-Code ermöglicht

„Ein Angreifer mit nur grundlegenden Zugriffsrechten kann einen Server für Unternehmensanwendungen potenziell in eine Plattform zur Remote-Codeausführung verwandeln.“

In Microsoft Dynamics 365 On-Premises besteht eine kritische Sicherheitslücke, die die Ausführung von Remote-Code ermöglicht, da die Codegenerierung nicht ordnungsgemäß kontrolliert wird. Die Schwachstelle ermöglicht es einem authentifizierten Angreifer mit geringen Berechtigungen, über das Netzwerk bösartigen Code auszuführen, indem er Prozesssitzungsdaten innerhalb von Dynamics CRM manipuliert. Da die Ausnutzung keine Benutzerinteraktion erfordert und sich auf Systeme außerhalb des ursprünglichen Sicherheitsbereichs der anfälligen Komponente auswirken kann, stellt diese Schwachstelle ein ernstes Unternehmensrisiko dar.

• CVSS-Score: 9,9
• SCHWERWIEGENDKEIT: Kritisch

BEDROHUNG:

Diese Sicherheitslücke könnte es authentifizierten Angreifern ermöglichen, beliebigen Code auf betroffenen Dynamics 365-Servern aus der Ferne auszuführen. Eine erfolgreiche Ausnutzung kann zur vollständigen Kompromittierung des Servers, zum unbefugten Zugriff auf Unternehmensanwendungen, zum Diebstahl sensibler CRM-Datensätze, zur Störung des Betriebs und zur lateralen Bewegung in verbundene Unternehmenssysteme führen.

EXPLOITS:

Zum Zeitpunkt der Veröffentlichung berichtet Microsoft, dass die Schwachstelle nicht öffentlich bekannt gegeben und in der Praxis nicht ausgenutzt wurde. Der Reifegrad des Exploit-Codes wird als „Unbewiesen“ angegeben, und die Einschätzung der Ausnutzbarkeit wird als „Ausnutzung unwahrscheinlich“ bewertet.

TECHNISCHE ZUSAMMENFASSUNG:

CVE-2026-42898 wird durch eine unsachgemäße Steuerung der Codegenerierung verursacht und unter CWE-94 „Code Injection“ klassifiziert. Ein authentifizierter Angreifer mit geringen Berechtigungen kann den gespeicherten Zustand einer Dynamics CRM-Prozesssitzung ändern und die Anwendung dazu veranlassen, böswillig gestaltete Daten zu verarbeiten. Dies kann dazu führen, dass der Server unbeabsichtigt vom Angreifer kontrollierten Code ausführt.

Die Schwachstelle weist einen Netzwerkangriffsvektor mit geringer Angriffskomplexität auf und erfordert keine Benutzerinteraktion. Der CVSS-Umfang ist als „Geändert“ gekennzeichnet, was bedeutet, dass eine erfolgreiche Ausnutzung Auswirkungen auf Systeme oder Ressourcen außerhalb der ursprünglichen Sicherheitsgrenze haben kann, die von der anfälligen Komponente verwaltet werden. Die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit werden alle als „Hoch“ eingestuft.

AUSNUTZBARKEIT:

Das betroffene Produkt ist Microsoft Dynamics 365 (On-Premises) Version 9.1. Die Ausnutzung erfordert ein gültiges, authentifiziertes Konto mit geringen Berechtigungen. Angreifer können manipulierte Prozesssitzungsdaten missbrauchen, um die Remote-Codeausführung auf dem Server auszulösen.

AUSWIRKUNGEN AUF DAS GESCHÄFT:

Eine Kompromittierung der Dynamics 365-Infrastruktur kann Kundendaten, betriebliche Arbeitsabläufe, Finanzinformationen und integrierte Geschäftssysteme offenlegen. Da CRM-Umgebungen häufig mit Identitätsdiensten, Datenbanken und Unternehmensanwendungen verbunden sind, könnte eine erfolgreiche Ausnutzung zu einer umfassenderen Kompromittierung der Organisation und zu Betriebsstörungen führen.

WORKAROUND:

Es sind keine Abhilfemaßnahmen oder Workarounds aufgeführt. Unternehmen sollten das offizielle Microsoft-Sicherheitsupdate zu KB5078943 so schnell wie möglich installieren.

DRINGLICHKEIT:

Diese Sicherheitslücke erfordert sofortige Aufmerksamkeit, da sie eine Einstufung als „kritisch“, eine netzwerkbasierte Ausnutzung, keine Anforderungen an Benutzerinteraktion sowie erhebliche Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit vereint. Auch wenn eine Ausnutzung derzeit als unwahrscheinlich eingeschätzt wird, senkt die geringe Anforderung an Berechtigungen die Hürde für Angreifer, die bereits über gültige Anmeldedaten verfügen, erheblich.

CVE-2026-42831 – Sicherheitslücke zur Remote-Codeausführung in Microsoft Office

„Eine bösartige Office-Datei kann einen einzigen Mausklick des Benutzers in die vollständige Codeausführung auf einer Workstation verwandeln.“

In Microsoft Office besteht aufgrund eines heap-basierten Pufferüberlaufs eine kritische Sicherheitslücke zur Remote-Codeausführung. Ein unbefugter Angreifer könnte diese Schwachstelle ausnutzen, indem er eine bösartige Office-Datei versendet und einen Benutzer dazu verleitet, diese zu öffnen. Der Vorschaubereich ist kein Angriffsvektor für diese Sicherheitslücke.

• CVSS-Score: 7,8
• SCHWERWIEGENDKEIT: Kritisch

BEDROHUNG:

Diese Sicherheitslücke könnte es einem Angreifer ermöglichen, lokal auf einem betroffenen System Code auszuführen. Eine erfolgreiche Ausnutzung kann zur Installation von Malware, zum Datendiebstahl, zur Kompromittierung der Workstation und möglicherweise zum Eindringen tiefer in das Unternehmen führen.

EXPLOITS:

Zum Zeitpunkt der Veröffentlichung berichtet Microsoft, dass die Sicherheitslücke nicht öffentlich bekannt gegeben und nicht ausgenutzt wurde. Der Reifegrad des Exploit-Codes wird als „unbewiesen“ angegeben, und die Wahrscheinlichkeit einer Ausnutzung wird als „unwahrscheinlich“ eingeschätzt.

TECHNISCHE ZUSAMMENFASSUNG:

CVE-2026-42831 wird durch einen heap-basierten Pufferüberlauf in Microsoft Office verursacht. Die Schwachstelle könnte es bösartigen Office-Inhalten ermöglichen, den Speicher zu beschädigen und vom Angreifer kontrollierten Code auf dem lokalen Rechner auszuführen. Obwohl im Titel „Remote Code Execution“ (Remote-Codeausführung) verwendet wird, ist der CVSS-Angriffsvektor „Lokal“, was bedeutet, dass für die Ausnutzung die bösartige Datei vom Benutzer lokal geöffnet werden muss. Eine Benutzerinteraktion ist erforderlich, und eine Ausnutzung über das Vorschaufenster wird nicht unterstützt.

AUSNUTZBARKEIT:

Betroffene Microsoft Office-Versionen sind in den bereitgestellten Daten nicht aufgeführt. Die Ausnutzung erfordert, dass ein Angreifer eine bösartige Office-Datei versendet und den Benutzer dazu bringt, diese zu öffnen.

AUSWIRKUNGEN AUF DAS UNTERNEHMEN:

Ein erfolgreicher Angriff könnte die Arbeitsstationen von Mitarbeitern kompromittieren, sensible Dokumente offenlegen, den Diebstahl von Anmeldedaten ermöglichen und Phishing-basierte Angriffskampagnen unterstützen. Angriffe über Office-Dateien sind besonders gefährlich, da sie sich in die normale Geschäftskommunikation einfügen.

WORKAROUND:

Es sind keine Abhilfemaßnahmen oder Workarounds aufgeführt. Wenden Sie den offiziellen Microsoft-Patch an, sobald dieser für die betroffenen Office-Produkte verfügbar ist.

DRINGLICHKEIT:

Dieser Sicherheitslücken sollte Priorität eingeräumt werden, da sie als „kritisch“ eingestuft ist und zur Codeausführung über bösartige Office-Dokumente führen kann. Auch wenn eine Ausnutzung derzeit als unwahrscheinlich eingeschätzt wird, bleiben Office-basierte Angriffe ein häufiger und effektiver Einstiegspunkt in Unternehmensumgebungen.

CVE-2026-41103 – Microsoft SSO-Plugin für Jira & Confluence: Sicherheitslücke zur Rechteausweitung

„Ein unterbrochener SSO-Vertrauenspfad kann es einem Angreifer ermöglichen, sich in Jira oder Confluence als jemand anderes auszugeben.“

Im Microsoft SSO-Plugin für Jira und Confluence besteht aufgrund einer fehlerhaften Implementierung eines Authentifizierungsalgorithmus eine kritische Sicherheitslücke zur Rechteausweitung. Ein nicht authentifizierter Angreifer könnte während der Anmeldung eine speziell gestaltete SSO-Antwort senden und das System dazu verleiten, eine gefälschte Identität zu akzeptieren, wodurch unbefugter Zugriff ohne ordnungsgemäße Microsoft Entra ID-Authentifizierung ermöglicht wird.

• CVSS-Score: 9,1

• SCHWERWIEGENDKEIT: Kritisch

BEDROHUNG:

Diese Schwachstelle könnte es einem Angreifer ermöglichen, die Authentifizierung zu umgehen und als berechtigter Benutzer auf Jira oder Confluence zuzugreifen. Je nach den Berechtigungen des kompromittierten Kontos könnte der Angreifer sensible Informationen einsehen, Inhalte ändern und unbefugte Aktionen ausführen.

EXPLOITS:

Zum Zeitpunkt der Veröffentlichung berichtet Microsoft, dass die Schwachstelle nicht öffentlich bekannt war und nicht ausgenutzt wurde. Der Reifegrad des Exploit-Codes wird als „Unbewiesen“ angegeben, die Wahrscheinlichkeit einer Ausnutzung wird jedoch als „Eher wahrscheinlich“ eingeschätzt.

TECHNISCHE ZUSAMMENFASSUNG:

CVE-2026-41103 wird durch eine fehlerhafte Implementierung eines Authentifizierungsalgorithmus im Microsoft SSO-Plugin für Jira und Confluence verursacht. Ein Angreifer kann die Schwachstelle ausnutzen, indem er während des Anmeldevorgangs eine speziell gestaltete SSO-Antwort sendet. Diese gefälschte Antwort kann dazu führen, dass das System eine nicht autorisierte Identität akzeptiert, wodurch sich der Angreifer ohne Authentifizierung über Microsoft Entra ID anmelden kann. Die Schwachstelle ist netzwerkbasiert, von geringer Komplexität, erfordert keine Berechtigungen und keine Benutzerinteraktion.

AUSNUTZBARKEIT:

Betroffene Software ist das Microsoft SSO-Plugin für Jira und Confluence. Die Ausnutzung erfordert keine Authentifizierung oder Benutzerinteraktion. Ein erfolgreicher Angreifer kann Zugriff als gültiger Jira- oder Confluence-Benutzer erlangen, begrenzt durch die Berechtigungsstufe dieses Benutzers.

AUSWIRKUNGEN AUF DAS GESCHÄFT:

Eine Kompromittierung von Jira oder Confluence kann Projektpläne, technische Daten, interne Dokumentation, Sicherheitsverfahren, Kundeninformationen und betriebliche Arbeitsabläufe offenlegen. Angreifer können zudem Inhalte ändern, Tickets manipulieren oder vertrauenswürdige Kollaborationssysteme missbrauchen, um weitere Angriffe zu unterstützen.

WORKAROUND:

Es ist kein Workaround aufgeführt. Wenden Sie den offiziellen Microsoft-Fix für das Microsoft SSO-Plugin für Jira und Confluence an.

DRINGLICHKEIT:

Diese Schwachstelle erfordert dringende Aufmerksamkeit, da sie als „kritisch“ eingestuft ist, einen CVSS-Wert von 9,1 aufweist, keine Berechtigungen oder Benutzerinteraktion erfordert und die Ausnutzung als „eher wahrscheinlich“ eingestuft wird. Fehler bei der Authentifizierungsumgehung in Kollaborationsplattformen können schnell zu schwerwiegenden Vorfällen in Unternehmen führen.

CVE-2026-41096 – Sicherheitslücke bei der Remote-Codeausführung im Windows-DNS-Client

„Eine bösartige DNS-Antwort sollte niemals ausreichen, um die Kontrolle über ein Windows-System zu übernehmen.“

Im Windows-DNS-Client besteht aufgrund eines heap-basierten Pufferüberlaufs eine kritische Sicherheitslücke, die die Ausführung von Remote-Code ermöglicht. Ein nicht authentifizierter Angreifer könnte die Sicherheitslücke ausnutzen, indem er eine speziell gestaltete DNS-Antwort an ein anfälliges System sendet, was möglicherweise zu einer Speicherbeschädigung und der Ausführung von Remote-Code ohne Benutzereingriff führt.

• CVSS-Score: 9,8
• SCHWERWIEGENDKEIT: Kritisch

BEDROHUNG:

Diese Sicherheitslücke könnte es Angreifern ermöglichen, über bösartige DNS-Antworten beliebigen Code auf betroffenen Windows-Systemen auszuführen. Eine erfolgreiche Ausnutzung kann zur vollständigen Kompromittierung des Systems, zur Verbreitung von Malware, zum Diebstahl von Anmeldedaten, zu lateraler Bewegung oder zur Störung des Unternehmensbetriebs führen.

EXPLOITS:

Zum Zeitpunkt der Veröffentlichung berichtet Microsoft, dass die Sicherheitslücke nicht öffentlich bekannt war und in der Praxis nicht ausgenutzt wurde. Der Reifegrad des Exploit-Codes wird als „unbewiesen“ angegeben, und eine Ausnutzung wird als „unwahrscheinlich“ eingeschätzt.

TECHNISCHE ZUSAMMENFASSUNG:

CVE-2026-41096 wird durch einen heap-basierten Pufferüberlauf im Windows-DNS-Client verursacht. Die Sicherheitslücke tritt auf, wenn der DNS-Client speziell gestaltete DNS-Antworten unsachgemäß verarbeitet, was zu Speicherbeschädigungen führt. Ein Angreifer kann die Schwachstelle aus der Ferne über das Netzwerk ohne Authentifizierung oder Benutzerinteraktion ausnutzen. Unter bestimmten Konfigurationen kann eine erfolgreiche Ausnutzung die Ausführung von durch den Angreifer kontrolliertem Code auf dem betroffenen System ermöglichen.

Die Schwachstelle beeinträchtigt Vertraulichkeit, Integrität und Verfügbarkeit in hohem Maße und weist einen Netzwerkangriffsvektor mit geringer Angriffskomplexität auf, was sie für Unternehmensumgebungen besonders gefährlich macht.

AUSNUTZBARKEIT:

Betroffene Software ist der Microsoft Windows DNS-Client. Zur Ausnutzung muss ein Angreifer eine speziell gestaltete DNS-Antwort an ein anfälliges Windows-System senden. Es ist keine Authentifizierung oder Benutzerinteraktion erforderlich.

AUSWIRKUNGEN AUF DAS GESCHÄFT:

Da DNS ein zentraler Netzwerkdienst ist, der in Unternehmensumgebungen weit verbreitet ist, könnte eine Ausnutzung schnell eine große Anzahl von Systemen betreffen. Erfolgreiche Angriffe können zu einer weitreichenden Kompromittierung von Endgeräten, dem Einsatz von Ransomware, dem Abgreifen von Anmeldedaten und Betriebsstörungen in Unternehmensnetzwerken führen.

WORKAROUND:

In den bereitgestellten Informationen sind keine Workarounds oder Abhilfemaßnahmen aufgeführt. Unternehmen sollten das offizielle Microsoft-Sicherheitsupdate so schnell wie möglich installieren.

DRINGLICHKEIT:

Diese Schwachstelle erfordert sofortige Aufmerksamkeit, da sie eine Einstufung als „kritisch“, einen netzwerkbasierten Angriffsvektor, keine Authentifizierungsanforderungen, keine Benutzerinteraktion und einen CVSS-Wert von 9,8 aufweist. DNS-bezogene Schwachstellen sind besonders gefährlich, da sie auf grundlegende Netzwerkdienste abzielen, die in der gesamten Unternehmensinfrastruktur weit verbreitet sind.

CVE-2026-41089 – Windows Netlogon-Schwachstelle zur Remote-Codeausführung

„Ein anfälliger Domänencontroller kann eine speziell gestaltete Netzwerkanfrage in einen direkten Weg zur Kompromittierung des Unternehmens verwandeln.“

In Windows Netlogon besteht aufgrund eines stapelbasierten Pufferüberlaufs eine kritische Sicherheitslücke, die die Ausführung von Remote-Code ermöglicht. Ein nicht authentifizierter Angreifer könnte eine speziell gestaltete Netzwerkanfrage an einen Windows-Server senden, der als Domänencontroller fungiert, wodurch Netlogon die Anfrage fehlerhaft verarbeitet und möglicherweise vom Angreifer kontrollierten Code ausführt.

• CVSS-Score: 9,8
• SCHWERWIEGENDKEIT: Kritisch

BEDROHUNG:

Diese Sicherheitslücke könnte es einem nicht authentifizierten Angreifer ermöglichen, aus der Ferne Code auf einem betroffenen Domänencontroller auszuführen. Eine erfolgreiche Ausnutzung kann zu einer Kompromittierung auf Domänenebene, zum Diebstahl von Anmeldedaten, zur Verbreitung von Malware, zu lateraler Bewegung und zu erheblichen Störungen der Authentifizierungsdienste führen.

EXPLOITS:

Zum Zeitpunkt der Veröffentlichung berichtet Microsoft, dass die Sicherheitslücke nicht öffentlich bekannt gegeben und nicht ausgenutzt wurde. Der Reifegrad des Exploit-Codes wird als „unbewiesen“ angegeben, und die Wahrscheinlichkeit einer Ausnutzung wird als „gering“ eingeschätzt.

TECHNISCHE ZUSAMMENFASSUNG:

CVE-2026-41089 wird durch einen stapelbasierten Pufferüberlauf in Windows Netlogon verursacht. Die Sicherheitslücke tritt auf, wenn Netlogon eine speziell gestaltete Netzwerkanfrage, die an einen als Domänencontroller fungierenden Windows-Server gesendet wird, nicht ordnungsgemäß verarbeitet. Da der Angriffsvektor netzwerkbasiert ist und keine Berechtigungen oder Benutzerinteraktion erfordert, könnte eine erfolgreiche Ausnutzung die Remote-Codeausführung auf einem hochsensiblen Authentifizierungssystem ermöglichen.

AUSNUTZBARKEIT:

Betroffene Software ist Windows Netlogon auf Windows-Servern, die als Domänencontroller fungieren. Die Ausnutzung erfordert das Senden einer speziell gestalteten Netzwerkanfrage an den anfälligen Domänencontroller. Es ist keine Anmeldung, kein vorheriger Zugriff und keine Benutzerinteraktion erforderlich.

AUSWIRKUNGEN AUF DAS GESCHÄFT:

Domänencontroller bilden die Kerninfrastruktur für die Identitätsverwaltung. Ein erfolgreicher Angriff könnte die Authentifizierung gefährden, Anmeldedaten offenlegen, weitreichende laterale Bewegungen ermöglichen und den Zugriff auf geschäftskritische Systeme stören. Dies könnte zur Verbreitung von Ransomware, Datendiebstahl und weitreichenden Betriebsausfällen führen.

WORKAROUND:

Es sind keine Abhilfemaßnahmen oder Workarounds aufgeführt. Installieren Sie das offizielle Microsoft-Sicherheitsupdate so schnell wie möglich.

DRINGLICHKEIT:

Diese Sicherheitslücke erfordert dringende Maßnahmen, da sie als „kritisch“ eingestuft ist, einen CVSS-Wert von 9,8 aufweist, auf Domänencontroller abzielt und keine Authentifizierung oder Benutzerinteraktion erfordert. Auch wenn die Ausnutzung als „weniger wahrscheinlich“ eingeschätzt wird, sind die potenziellen Auswirkungen schwerwiegend.

CVE-2026-40403 – Sicherheitslücke zur Remote-Codeausführung in der Windows-Grafikkomponente

„Eine Kompromittierung innerhalb einer virtualisierten Umgebung sollte niemals zu einer Brücke in das Host-Betriebssystem werden.“

In der Windows-Grafikkomponente (Win32K – GRFX) besteht aufgrund eines heap-basierten Pufferüberlaufs eine kritische Sicherheitslücke zur Remote-Codeausführung. Die Schwachstelle ermöglicht es einem authentifizierten Angreifer mit geringen Berechtigungen, lokal Code auszuführen und möglicherweise aus einer isolierten Ausführungsumgebung zu entkommen, einschließlich Szenarien, in denen virtuelle Gastmaschinen das Host-Betriebssystem angreifen.

• CVSS-Score: 8,8

• SCHWERWIEGENDKEIT: Kritisch

BEDROHUNG:

Diese Sicherheitslücke könnte es einem Angreifer mit lokalem Zugriff ermöglichen, beliebigen Code auszuführen und möglicherweise aus isolierten Ausführungsumgebungen auszubrechen. Eine erfolgreiche Ausnutzung kann zur Kompromittierung des Host-Betriebssystems, zum unbefugten Zugriff auf sensible Systeme und zu weitreichenden Auswirkungen auf die Infrastruktur führen.

EXPLOITS:

Zum Zeitpunkt der Veröffentlichung berichtet Microsoft, dass die Schwachstelle nicht öffentlich bekannt gegeben wurde und in der Praxis nicht ausgenutzt wurde. Der Reifegrad des Exploit-Codes wird als „unbewiesen“ angegeben, und die Wahrscheinlichkeit einer Ausnutzung wird als „gering“ eingeschätzt.

TECHNISCHE ZUSAMMENFASSUNG:

CVE-2026-40403 wird durch einen heap-basierten Pufferüberlauf in Windows Win32K – GRFX verursacht. Die Sicherheitslücke ermöglicht es einem authentifizierten Angreifer, lokal Code auszuführen, indem er eine fehlerhafte Speicherverwaltung innerhalb der Grafikkomponente ausnutzt. Der CVSS-Geltungsbereich ist als „geändert“ gekennzeichnet, was bedeutet, dass eine erfolgreiche Ausnutzung Systeme außerhalb der ursprünglichen Sicherheitsgrenze beeinträchtigen kann.

Microsoft gibt an, dass die Schwachstelle zu einem Ausbruch aus der isolierten Ausführungsumgebung führen könnte. Ein Angreifer, der Zugriff auf eine lokale Gast-VM erhält, könnte die Schwachstelle potenziell ausnutzen, um das Host-Betriebssystem anzugreifen. Der anfällige Endpunkt ist nur über die lokale VM-Schnittstelle zugänglich, da die externe Kommunikation blockiert ist.

AUSNUTZBARKEIT:

Betroffene Software ist die Windows-Grafikkomponente (Win32K – GRFX). Die Ausnutzung erfordert lokalen Zugriff und geringe Berechtigungen. Angreifer könnten die Schwachstelle aus einer Gast-VM-Umgebung heraus missbrauchen, um das Host-Betriebssystem anzugreifen.

AUSWIRKUNGEN AUF DAS GESCHÄFT:

Virtualisierungs- und Isolationstechnologien spielen in Unternehmens- und Cloud-Umgebungen eine zentrale Rolle. Ein erfolgreicher Ausbruch aus einer isolierten Umgebung könnte die Sicherheitskontrollen des Hosts untergraben, sensible Workloads gefährden und Angreifern die Möglichkeit bieten, sich zwischen Systemen zu bewegen, die eigentlich isoliert bleiben sollten.

WORKAROUND:

Es sind keine Abhilfemaßnahmen oder Workarounds aufgeführt. Unternehmen sollten das offizielle Microsoft-Sicherheitsupdate so schnell wie möglich installieren.

DRINGLICHKEIT:

Diese Schwachstelle sollte als Problem mit hoher Priorität behandelt werden, da sie Virtualisierungs- und Isolationsgrenzen betrifft, nur geringe Berechtigungen erfordert und Szenarien ermöglichen könnte, in denen der Gast den Host kompromittiert. Auch wenn die Ausnutzung als „weniger wahrscheinlich“ eingestuft wird, haben Schwachstellen, die ein Entkommen aus der Isolation ermöglichen, erhebliche Sicherheitsauswirkungen in Unternehmens- und Cloud-Umgebungen.

CVE-2026-40402 – Windows Hyper-V-Sicherheitslücke zur Rechteausweitung

„Eine Gast-VM sollte niemals zum Einfallstor für die Kontrolle des Hyper-V-Hosts auf SYSTEM-Ebene werden.“

In Windows Hyper-V besteht eine kritische Sicherheitslücke zur Rechteausweitung aufgrund eines Use-after-free-Fehlers. Ein Angreifer könnte dieses Problem von einer Gast-VM aus ausnutzen und die Sicherheitsgrenze zur Hyper-V-Hostumgebung überschreiten. Eine erfolgreiche Ausnutzung könnte es dem Angreifer ermöglichen, SYSTEM-Rechte zu erlangen.

• CVSS-Score: 9,3
• SCHWERWIEGENDKEIT: Kritisch

BEDROHUNG:

Diese Sicherheitslücke könnte es einem Angreifer ermöglichen, der von einer Hyper-V-Gastumgebung aus operiert, die Rechte auf dem Host zu erweitern. Eine erfolgreiche Ausnutzung kann zu Zugriff auf SYSTEM-Ebene, Kompromittierung des Hosts, Offenlegung von Daten, Manipulation und potenziellen Auswirkungen auf andere virtualisierte Workloads führen.

EXPLOITS:

Zum Zeitpunkt der Veröffentlichung berichtet Microsoft, dass die Schwachstelle nicht öffentlich bekannt war und nicht ausgenutzt wurde. Der Reifegrad des Exploit-Codes wird als „unbewiesen“ angegeben, und die Wahrscheinlichkeit einer Ausnutzung wird als „gering“ eingeschätzt.

TECHNISCHE ZUSAMMENFASSUNG:

CVE-2026-40402 wird durch eine Use-after-free-Bedingung in Windows Hyper-V verursacht. Das Problem ermöglicht es einer Gast-VM, den Hyper-V-Host-Kernel zu zwingen, von einer beliebigen, potenziell ungültigen Adresse zu lesen. In den meisten Fällen kann dies zu einem Denial-of-Service durch einen Host-Bugcheck führen. Microsoft weist jedoch darauf hin, dass Lesevorgänge, die speicherabgebildete Geräteregister betreffen, die mit an den Host angeschlossener Hardware verbunden sind, gerätespezifische Nebenwirkungen auslösen können, die die Host-Sicherheit gefährden könnten. Der CVSS-Umfang wurde geändert, da die Ausnutzung von der Sicherheitsgrenze der Gast-VM in die Hyper-V-Hostumgebung übergreifen kann.

AUSNUTZBARKEIT:

Betroffene Software ist Windows Hyper-V. Die Ausnutzung erfolgt lokal aus dem Kontext der Gast-VM heraus, erfordert keine Berechtigungen und keine Benutzerinteraktion. Ein erfolgreicher Angreifer könnte SYSTEM-Berechtigungen auf dem Hyper-V-Host erlangen.

AUSWIRKUNGEN AUF DAS GESCHÄFT:

Eine Kompromittierung des Hyper-V-Hosts kann mehrere virtuelle Maschinen und sensible Workloads gleichzeitig gefährden. Dies kann zu Verletzungen der Mandantengrenzen, Unterbrechungen der Geschäftsdienste, Datendiebstahl und einem Vertrauensverlust in die virtualisierte Infrastruktur führen.

WORKAROUND:

Es sind keine Abhilfemaßnahmen oder Workarounds aufgeführt. Installieren Sie das offizielle Microsoft-Sicherheitsupdate so schnell wie möglich.

DRINGLICHKEIT:

Diese Sicherheitslücke sollte priorisiert werden, da sie als „kritisch“ eingestuft ist, einen CVSS-Wert von 9,3 aufweist, keine Berechtigungen oder Benutzerinteraktion erfordert und die Sicherheitsgrenze zwischen Gast und Host überwinden kann. Hyper-V-Hosts, die kritische Workloads unterstützen, sollten umgehend gepatcht werden.

CVE-2026-40367 – Sicherheitslücke in Microsoft Word zur Remote-Codeausführung

„Eine Dokumentvorschau sollte niemals ein unbemerktes Auslöseelement für die Codeausführung sein.“

In Microsoft Word besteht eine kritische Sicherheitslücke zur Remote-Codeausführung aufgrund eines Fehlers bei der Dereferenzierung eines nicht vertrauenswürdigen Zeigers. Ein unbefugter Angreifer könnte die Sicherheitslücke ausnutzen, um lokal Code auszuführen, und das Vorschaufenster wurde als Angriffsvektor bestätigt, was das Risiko einer Gefährdung durch die routinemäßige Dokumentenbearbeitung erhöht.

• CVSS-Score: 8,4
• SCHWERWIEGENDKEIT: Kritisch

BEDROHUNG:

Diese Sicherheitslücke könnte es Angreifern ermöglichen, über bösartige Word-Inhalte beliebigen Code auf betroffenen Systemen auszuführen. Eine erfolgreiche Ausnutzung kann zur Verbreitung von Malware, zum Diebstahl sensibler Informationen, zur Kompromittierung von Arbeitsstationen und zu weiteren Aktivitäten innerhalb der Unternehmensumgebung führen.

EXPLOITS:

Zum Zeitpunkt der Veröffentlichung berichtet Microsoft, dass die Schwachstelle nicht öffentlich bekannt gegeben und in der Praxis noch nicht ausgenutzt wurde. Der Reifegrad des Exploit-Codes wird als „unbewiesen“ angegeben, und die Wahrscheinlichkeit einer Ausnutzung wird als „unwahrscheinlich“ eingeschätzt.

TECHNISCHE ZUSAMMENFASSUNG:

CVE-2026-40367 wird durch eine Dereferenzierung eines nicht vertrauenswürdigen Zeigers in Microsoft Office Word verursacht. Eine unsachgemäße Behandlung von Speicherreferenzen kann es ermöglichen, dass speziell gestaltete Word-Inhalte die Ausführung von Angreifer-kontrolliertem Code auf dem lokalen System auslösen. Obwohl der Titel auf die Ausführung von Remote-Code hinweist, ist der CVSS-Angriffsvektor „Lokal“, da der schädliche Inhalt lokal vom Zielsystem verarbeitet werden muss.

Das Vorschaufenster ist als Angriffsvektor bestätigt, was bedeutet, dass eine Ausnutzung während der Dokumentvorschau erfolgen kann, ohne dass das Dokument auf herkömmliche Weise vollständig geöffnet werden muss.

AUSNUTZBARKEIT:

Betroffene Software ist Microsoft Office Word. Die Ausnutzung erfordert die lokale Verarbeitung bösartiger Word-Inhalte. Gemäß den CVSS-Metriken sind keine Berechtigungen oder Benutzerinteraktionen erforderlich, und das Vorschaufenster kann die Schwachstelle auslösen.

AUSWIRKUNGEN AUF DAS UNTERNEHMEN:

Word-Dokumente gehören nach wie vor zu den gängigsten Dateiformaten im Geschäftsleben, die per E-Mail und über Kollaborationsplattformen ausgetauscht werden. Ein erfolgreicher Angriff könnte die Systeme von Mitarbeitern kompromittieren, vertrauliche Daten offenlegen, den Diebstahl von Anmeldedaten ermöglichen und einen Einstiegspunkt für umfassendere Angriffe auf das Unternehmen schaffen.

WORKAROUND:

Es sind keine Abhilfemaßnahmen oder Workarounds aufgeführt. Microsoft gibt an, dass alle entsprechenden Update-Pakete für die betroffene Software installiert werden sollten.

DRINGLICHKEIT:

Diese Sicherheitslücke sollte als Patch-Aufgabe mit hoher Priorität behandelt werden, da sie als „kritisch“ eingestuft ist und das Vorschaufenster als Angriffsvektor dient. Auf der Vorschau basierende Ausnutzungswege reduzieren den normalerweise erforderlichen Umfang an Benutzerinteraktion und erhöhen die Gefährdung des Unternehmens durch Angriffe mit bösartigen Dokumenten.

CVE-2026-40366 – Sicherheitslücke in Microsoft Word zur Remote-Codeausführung

„Eine einfache Dokumentvorschau kann zu einem Pfad für die Codeausführung werden, wenn Speicher unsicher wiederverwendet wird.“

In Microsoft Word besteht aufgrund eines Use-after-free-Fehlers eine kritische Sicherheitslücke, die die Ausführung von Remote-Code ermöglicht. Ein unbefugter Angreifer könnte das Problem ausnutzen, um lokal Code auszuführen, wenn bösartiger Word-Inhalt verarbeitet wird. Das Vorschaufenster ist als Angriffsvektor bestätigt, was das Risiko bei der routinemäßigen Dateiverarbeitung erhöht.

• CVSS-Score: 8,4

• SCHWERWIEGENDKEIT: Kritisch

BEDROHUNG:

Diese Sicherheitslücke könnte es Angreifern ermöglichen, über bösartige Word-Dokumente beliebigen Code auf betroffenen Systemen auszuführen. Eine erfolgreiche Ausnutzung kann zur Installation von Malware, zum Datendiebstahl, zur Kompromittierung von Arbeitsstationen und zur weiteren Ausbreitung innerhalb der Organisation führen.

EXPLOITS:

Zum Zeitpunkt der Veröffentlichung berichtet Microsoft, dass die Schwachstelle nicht öffentlich bekannt gegeben und nicht ausgenutzt wurde. Der Reifegrad des Exploit-Codes wird als „unbewiesen“ angegeben, und die Wahrscheinlichkeit einer Ausnutzung wird als „gering“ eingeschätzt.

TECHNISCHE ZUSAMMENFASSUNG:

CVE-2026-40366 wird durch eine „Use-after-free“-Situation in Microsoft Office Word verursacht. Die Schwachstelle tritt auf, wenn Word den Speicher nach seiner Freigabe nicht ordnungsgemäß verwaltet, was es speziell gestalteten Inhalten ermöglichen könnte, die Ausführung von Angreifer-kontrolliertem Code auszulösen. Obwohl im Titel „Remote Code Execution“ (Remote-Codeausführung) verwendet wird, ist der CVSS-Angriffsvektor „Lokal“, da der schädliche Inhalt auf dem Zielsystem verarbeitet werden muss. Der Vorschaubereich ist ein Angriffsvektor, was bedeutet, dass das Verhalten der Dokumentvorschau Benutzer der Ausnutzung aussetzen kann.

AUSNUTZBARKEIT:

Betroffene Software ist Microsoft Office Word. Die Ausnutzung erfordert die lokale Verarbeitung bösartiger Word-Inhalte. Gemäß den CVSS-Metriken sind keine Berechtigungen oder Benutzerinteraktionen erforderlich, und das Vorschaufenster kann als Angriffsvektor genutzt werden.

AUSWIRKUNGEN AUF DAS UNTERNEHMEN:

Ein erfolgreicher Exploit könnte die Endgeräte von Mitarbeitern kompromittieren, sensible Dokumente offenlegen, den Diebstahl von Anmeldedaten ermöglichen und Angreifern einen Einstiegspunkt für ein umfassenderes Eindringen in das Unternehmen verschaffen. Word-Dateien werden häufig per E-Mail und über Tools zur Zusammenarbeit geteilt, wodurch diese Schwachstelle besonders relevant für Phishing- und dokumentbasierte Angriffe ist.

WORKAROUND:

Es sind keine Abhilfemaßnahmen oder Workarounds aufgeführt. Installieren Sie das offizielle Microsoft-Sicherheitsupdate.

DRINGLICHKEIT:

Diese Schwachstelle sollte priorisiert werden, da sie als „kritisch“ eingestuft ist und eine Gefährdung des Vorschaufensters beinhaltet. Auch wenn die Ausnutzung als „weniger wahrscheinlich“ eingestuft wird, reduzieren Angriffspfade über die Dokumentenvorschau die Entscheidungsmöglichkeiten der Benutzer und erhöhen das Risiko durch bösartige Dateien.

CVE-2026-40365 – Schwachstelle zur Remote-Codeausführung in Microsoft SharePoint Server

„Ein SharePoint-Konto mit geringen Berechtigungen sollte niemals als Einfallstor für die Remote-Codeausführung auf dem Server dienen.“

In Microsoft SharePoint Server besteht eine kritische Sicherheitslücke zur Remote-Codeausführung aufgrund unzureichender Granularität der Zugriffskontrolle. Ein authentifizierter Angreifer mit geringen Berechtigungen, beispielsweise in der Rolle eines Site-Eigentümers, könnte die Schwachstelle ausnutzen, um beliebigen Code remote auf dem SharePoint-Server einzuschleusen und auszuführen.

• CVSS-Score: 8,8
• SCHWERWIEGENDKEIT: Kritisch

BEDROHUNG:

Diese Sicherheitslücke könnte es authentifizierten Angreifern ermöglichen, beliebigen Code auf betroffenen SharePoint-Servern aus der Ferne auszuführen. Eine erfolgreiche Ausnutzung kann zur Kompromittierung des Servers, zum unbefugten Zugriff auf Geschäftsdaten, zur Verbreitung von Malware und zur Störung von Kollaborationsdiensten führen.

EXPLOITS:

Zum Zeitpunkt der Veröffentlichung berichtet Microsoft, dass die Sicherheitslücke nicht öffentlich bekannt war und in der Praxis nicht ausgenutzt wurde. Der Reifegrad des Exploit-Codes wird als „unbewiesen“ angegeben, und die Wahrscheinlichkeit einer Ausnutzung wird als „gering“ eingeschätzt.

TECHNISCHE ZUSAMMENFASSUNG:

CVE-2026-40365 wird durch eine unzureichende Granularität der Zugriffskontrolle in Microsoft Office SharePoint verursacht. Die Sicherheitslücke ermöglicht es einem authentifizierten Angreifer mit geringen Berechtigungen, beliebigen Code zu schreiben und die Remote-Ausführung auf dem SharePoint-Server auszulösen. Microsoft gibt an, dass ein Benutzer mit mindestens den Berechtigungen eines Site-Eigentümers die Schwachstelle in einem netzwerkbasierten Angriff ausnutzen könnte.

Die Schwachstelle weist einen Netzwerk-Angriffsvektor auf, ist von geringer Komplexität, erfordert geringe Berechtigungen und erfordert keine Benutzerinteraktion. Die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit werden alle als „Hoch“ eingestuft.

AUSNUTZBARKEIT:

Betroffene Software ist Microsoft SharePoint Server, einschließlich SharePoint Server 2016 und SharePoint Enterprise Server 2016, die dasselbe KB-Update verwenden. Die Ausnutzung erfordert ein authentifiziertes Konto mit mindestens den Rechten eines Site-Eigentümers.

AUSWIRKUNGEN AUF DAS UNTERNEHMEN:

In SharePoint-Umgebungen werden häufig sensible Dokumente, interne Kommunikation, Projektdaten und Geschäftsabläufe gespeichert. Ein erfolgreicher Angriff könnte vertrauliche Informationen offenlegen, Kollaborationsplattformen stören und Angreifern einen Zugang zum Unternehmensnetzwerk verschaffen.

WORKAROUND:

Es sind keine Abhilfemaßnahmen oder Workarounds aufgeführt. Unternehmen sollten das offizielle Microsoft-Sicherheitsupdate für betroffene SharePoint-Umgebungen so schnell wie möglich installieren.

DRINGLICHKEIT:

Diese Sicherheitslücke sollte als Problem mit hoher Priorität behandelt werden, da sie die Remote-Codeausführung auf SharePoint-Servern bereits mit geringem authentifiziertem Zugriff ermöglicht. Kollaborationsplattformen sind häufig das Ziel von Angriffen, da sie wertvolle Geschäftsdaten enthalten und oft in umfassendere Unternehmenssysteme integriert sind.

CVE-2026-40364 – Sicherheitslücke zur Remote-Codeausführung in Microsoft Word

„Die Vorschau eines Word-Dokuments kann zu einem Angriffsweg werden, noch bevor der Benutzer die Datei vollständig öffnet.“

In Microsoft Word besteht eine kritische Sicherheitslücke zur Remote-Codeausführung aufgrund von Typverwechslungen, der Verwendung nicht initialisierter Ressourcen und Schwachstellen durch heap-basierte Pufferüberläufe. Ein unbefugter Angreifer könnte die Sicherheitslücke ausnutzen, um lokal Code auszuführen, wenn bösartiger Word-Inhalt verarbeitet wird. Das Vorschaufenster ist als Angriffsvektor bestätigt.

• CVSS-Score: 8,4
• SCHWERWIEGENDKEIT: Kritisch

BEDROHUNG:

Diese Sicherheitslücke könnte es Angreifern ermöglichen, über bösartigen Word-Inhalt beliebigen Code auf betroffenen Systemen auszuführen. Eine erfolgreiche Ausnutzung kann zur Kompromittierung von Endgeräten, zur Ausführung von Malware, zum Datendiebstahl und zur weiteren Ausbreitung innerhalb des Unternehmens führen.

EXPLOITS:

Zum Zeitpunkt der Veröffentlichung berichtet Microsoft, dass die Schwachstelle nicht öffentlich bekannt war und nicht ausgenutzt wurde. Der Reifegrad des Exploit-Codes wird als „unbewiesen“ angegeben, die Wahrscheinlichkeit einer Ausnutzung wird jedoch als „eher wahrscheinlich“ eingeschätzt.

TECHNISCHE ZUSAMMENFASSUNG:

CVE-2026-40364 betrifft den unsachgemäßen Zugriff auf eine Ressource unter Verwendung eines inkompatiblen Typs, auch bekannt als Typverwechslung, in Microsoft Office Word.

Die Schwachstelle umfasst zudem die Nutzung von Schwachstellen durch nicht initialisierte Ressourcen und heap-basierte Pufferüberläufe. Diese Probleme bei der Speicherverwaltung können es ermöglichen, dass speziell gestaltete Word-Inhalte den Speicher beschädigen und lokal von Angreifern kontrollierten Code ausführen. Obwohl im Titel „Remote Code Execution“ (Remote-Codeausführung) verwendet wird, ist der CVSS-Angriffsvektor „Lokal“, da der schädliche Inhalt auf dem Zielrechner verarbeitet werden muss. Das Vorschaufenster ist ein Angriffsvektor.

AUSNUTZBARKEIT:

Betroffene Software ist Microsoft Office Word. Die Ausnutzung erfordert die lokale Verarbeitung bösartiger Word-Inhalte, unter anderem über das Vorschaufenster. Gemäß den CVSS-Metriken sind keine Berechtigungen oder Benutzerinteraktionen erforderlich.

AUSWIRKUNGEN AUF DAS UNTERNEHMEN:

Ein erfolgreicher Angriff könnte Benutzer-Workstations kompromittieren, sensible Dokumente offenlegen, den Diebstahl von Anmeldedaten ermöglichen und Angreifern einen Fuß in das Unternehmen verschaffen. Da Word-Dokumente häufig per E-Mail, über Tools zur Zusammenarbeit und über Websites geteilt werden, eignet sich diese Schwachstelle gut für Phishing- und dokumentbasierte Angriffe.

WORKAROUND:

Es sind keine Abhilfemaßnahmen oder Workarounds aufgeführt. Installieren Sie das offizielle Microsoft-Sicherheitsupdate.

DRINGLICHKEIT:

Diese Schwachstelle sollte priorisiert werden, da sie als „kritisch“ eingestuft ist, das Vorschaufenster ein Angriffsvektor ist und die Ausnutzung als „eher wahrscheinlich“ eingeschätzt wird. Dokumentbasierte Schwachstellen können sich schnell über normale Geschäftsabläufe verbreiten und erfordern unter Umständen nur sehr wenig Benutzereingriff.

CVE-2026-40363 – Schwachstelle zur Remote-Codeausführung in Microsoft Office

„Ein bösartiges Office-Dokument kann zu einem unsichtbaren Angriffsauslöser werden, wenn bereits Vorschauaktionen eine anfällige Speicherverwaltung offenlegen.“

In Microsoft Office besteht eine kritische Sicherheitslücke zur Remote-Codeausführung aufgrund eines heap-basierten Pufferüberlaufs. Ein unbefugter Angreifer könnte die Schwachstelle ausnutzen, um lokal Code auszuführen, wenn speziell gestaltete Office-Inhalte verarbeitet werden. Das Vorschaufenster ist als Angriffsvektor bestätigt, was das Risiko bei normalen Dokumentenverarbeitungsaktivitäten erhöht.

• CVSS-Score: 8,4
• SCHWERWIEGENDKEIT: Kritisch

BEDROHUNG:

Diese Sicherheitslücke könnte es Angreifern ermöglichen, über bösartige Office-Dateien beliebigen Code auf betroffenen Systemen auszuführen. Eine erfolgreiche Ausnutzung kann zur Verbreitung von Malware, zum Diebstahl von Anmeldedaten, zur Offenlegung von Daten, zur Kompromittierung von Endgeräten und zu einem umfassenderen Eindringen in das Unternehmensnetzwerk führen.

EXPLOITS:

Zum Zeitpunkt der Veröffentlichung berichtet Microsoft, dass die Sicherheitslücke nicht öffentlich bekannt war und in der Praxis nicht ausgenutzt wurde. Der Reifegrad des Exploit-Codes wird als „unbewiesen“ angegeben, und die Wahrscheinlichkeit einer Ausnutzung wird als „gering“ eingeschätzt.

TECHNISCHE ZUSAMMENFASSUNG:

CVE-2026-40363 wird durch einen heap-basierten Pufferüberlauf in Microsoft Office verursacht. Durch unsachgemäße Speicherverwaltung können speziell gestaltete Office-Inhalte den Speicher beschädigen und von Angreifern kontrollierten Code auf dem lokalen System ausführen. Obwohl der Titel auf die Ausführung von Remote-Code hinweist, ist der CVSS-Angriffsvektor „Lokal“, da die Ausnutzung erfolgt, wenn schädliche Inhalte lokal vom Zielrechner verarbeitet werden.

Das Vorschaufenster ist als Angriffsvektor bestätigt, was bedeutet, dass eine Ausnutzung während der Vorschau erfolgen kann, ohne dass ein Dokument auf herkömmliche Weise vollständig geöffnet werden muss.

AUSNUTZBARKEIT:

Betroffene Software ist Microsoft Office. Die Ausnutzung erfordert die lokale Verarbeitung bösartiger Office-Inhalte, unter anderem über das Vorschaufenster. Gemäß den CVSS-Metriken sind keine Berechtigungen oder Benutzerinteraktionen erforderlich.

AUSWIRKUNGEN AUF DAS UNTERNEHMEN:

Office-basierte Schwachstellen sind nach wie vor äußerst effektiv, da Office-Dokumente tief in die geschäftliche Kommunikation und Zusammenarbeit integriert sind. Ein erfolgreicher Exploit könnte die Arbeitsstationen von Mitarbeitern kompromittieren, sensible Geschäftsinformationen offenlegen und Angreifern einen ersten Zugang zu Unternehmensumgebungen verschaffen.

WORKAROUND:

Es sind keine Abhilfemaßnahmen oder Workarounds aufgeführt. Installieren Sie das offizielle Microsoft-Sicherheitsupdate für betroffene Office-Produkte.

DRINGLICHKEIT:

Diese Sicherheitslücke sollte als Patch-Aufgabe mit hoher Priorität behandelt werden, da sie als „kritisch“ eingestuft ist und der Vorschaubereich ein Angriffsvektor darstellt. Auch wenn die Ausnutzung derzeit als „weniger wahrscheinlich“ eingestuft wird, verringern Angriffe auf Dokumente über die Vorschau die üblichen Warnsignale für Benutzer und erhöhen die Wahrscheinlichkeit einer versehentlichen Offenlegung.

CVE-2026-40361 – Sicherheitslücke zur Remote-Codeausführung in Microsoft Word

„Eine Word-Vorschau kann zu einem unbemerkten Startpunkt für von Angreifern kontrollierten Code werden.“

In Microsoft Word besteht aufgrund eines Use-after-free-Fehlers eine kritische Sicherheitslücke zur Remote-Codeausführung. Ein unbefugter Angreifer könnte das Problem ausnutzen, um lokal Code auszuführen, wenn bösartiger Word-Inhalt verarbeitet wird. Das Vorschaufenster ist als Angriffsvektor bestätigt, und die Ausnutzung wird als „eher wahrscheinlich“ eingestuft.

• CVSS-Score: 8,4
• SCHWERWIEGENDKEIT: Kritisch

BEDROHUNG:

Diese Sicherheitslücke könnte es Angreifern ermöglichen, über bösartige Word-Inhalte beliebigen Code auszuführen. Eine erfolgreiche Ausnutzung kann zur Kompromittierung von Endgeräten, zur Ausführung von Malware, zum Diebstahl sensibler Daten und zu einem erweiterten Zugriff innerhalb der Organisation führen.

EXPLOITS:

Zum Zeitpunkt der Veröffentlichung berichtet Microsoft, dass die Sicherheitslücke nicht öffentlich bekannt gegeben und nicht ausgenutzt wurde. Der Reifegrad des Exploit-Codes wird als „unbewiesen“ angegeben, die Wahrscheinlichkeit einer Ausnutzung wird jedoch als „eher wahrscheinlich“ eingestuft.

TECHNISCHE ZUSAMMENFASSUNG:

CVE-2026-40361 wird durch eine „Use-after-free“-Situation in Microsoft Office Word verursacht. Die Schwachstelle tritt auf, wenn Word Speicher nach dessen Freigabe unsachgemäß behandelt, wodurch speziell gestaltete Inhalte die Codeausführung auf dem lokalen System auslösen können. Obwohl der Titel von Remote-Codeausführung spricht, ist der CVSS-Angriffsvektor „Lokal“, da der schädliche Inhalt lokal verarbeitet werden muss. Das Vorschaufenster ist ein Angriffsvektor, der das Risiko bei routinemäßigen Dokumentenvorschauen erhöht.

AUSNUTZBARKEIT:

Betroffene Software ist Microsoft Office Word. Die Ausnutzung erfordert die lokale Verarbeitung bösartiger Word-Inhalte, unter anderem über das Vorschaufenster. Gemäß den CVSS-Metriken sind keine Berechtigungen oder Benutzerinteraktionen erforderlich.

AUSWIRKUNGEN AUF DAS UNTERNEHMEN:

Ein erfolgreicher Exploit könnte Mitarbeiter-Workstations kompromittieren, vertrauliche Dokumente offenlegen, den Diebstahl von Anmeldedaten ermöglichen und Angreifern einen Einstiegspunkt in das Unternehmen verschaffen. Word-Dateien werden häufig per E-Mail und über Tools zur Zusammenarbeit geteilt, wodurch diese Schwachstelle für Phishing-basierte Angriffe von hoher Relevanz ist.

WORKAROUND:

Es sind keine Abhilfemaßnahmen oder Workarounds aufgeführt. Wenden Sie das offizielle Microsoft-Sicherheitsupdate an.

DRINGLICHKEIT:

Dieser Sicherheitslücke sollte Priorität eingeräumt werden, da sie als „kritisch“ eingestuft ist, das Vorschaufenster ein Angriffsvektor darstellt und die Wahrscheinlichkeit einer Ausnutzung als „eher wahrscheinlich“ eingeschätzt wird. Dokumentbasierte Angriffe können sich schnell durch normale Geschäftsabläufe bewegen und erfordern unter Umständen nur sehr wenig Benutzereingriff.

CVE-2026-40358 – Sicherheitslücke zur Remote-Codeausführung in Microsoft Office

„Eine routinemäßige Dokumentenvorschau kann zu dem Moment werden, in dem ein Angreifer Codeausführung auf einem Unternehmensgerät erlangt.“

In Microsoft Office besteht aufgrund eines Use-after-free-Fehlers eine kritische Sicherheitslücke zur Remote-Codeausführung. Ein unbefugter Angreifer könnte die Sicherheitslücke ausnutzen, um lokal Code auszuführen, wenn bösartiger Office-Inhalt verarbeitet wird. Das Vorschaufenster ist als Angriffsvektor bestätigt, was das Risiko bei normalen Dokumentenverarbeitungsaktivitäten erhöht.

• CVSS-Score: 8,4
• SCHWERWIEGENDKEIT: Kritisch

BEDROHUNG:

Diese Sicherheitslücke könnte es Angreifern ermöglichen, über speziell gestaltete Office-Dateien beliebigen Code auf betroffenen Systemen auszuführen. Eine erfolgreiche Ausnutzung kann zur Installation von Malware, zum Diebstahl von Anmeldedaten, zur Offenlegung sensibler Geschäftsinformationen und zur Kompromittierung von Mitarbeiter-Workstations führen.

EXPLOITS:

Zum Zeitpunkt der Veröffentlichung berichtet Microsoft, dass die Sicherheitslücke nicht öffentlich bekannt gegeben und nicht ausgenutzt wurde. Der Reifegrad des Exploit-Codes wird als „unbewiesen“ angegeben, und die Wahrscheinlichkeit einer Ausnutzung wird als „gering“ eingeschätzt.

TECHNISCHE ZUSAMMENFASSUNG:

CVE-2026-40358 wird durch eine „Use-after-free“-Bedingung in Microsoft Office verursacht. Die Sicherheitslücke tritt auf, wenn Office Speicher nach dessen Freigabe unsachgemäß behandelt, wodurch speziell gestaltete Inhalte möglicherweise die Ausführung von Angreifer-kontrolliertem Code auf dem lokalen System auslösen können. Obwohl der Titel auf die Ausführung von Remote-Code hinweist, ist der CVSS-Angriffsvektor „Lokal“, da der schädliche Inhalt auf dem Zielrechner verarbeitet werden muss.

Das Vorschaufenster ist als Angriffsvektor bestätigt, was bedeutet, dass eine Ausnutzung während der Vorschau erfolgen kann, ohne dass der Benutzer das Dokument vollständig öffnen muss.

AUSNUTZBARKEIT:

Betroffene Software ist Microsoft Office. Die Ausnutzung erfordert die lokale Verarbeitung bösartiger Office-Inhalte, unter anderem über das Vorschaufenster. Gemäß den CVSS-Metriken sind keine Berechtigungen oder Benutzerinteraktionen erforderlich.

AUSWIRKUNGEN AUF DAS GESCHÄFT:

Office-Anwendungen sind tief in die tägliche Geschäftskommunikation und Zusammenarbeit integriert. Ein erfolgreicher Angriff könnte Endgeräte kompromittieren, vertrauliche Informationen offenlegen, Phishing-Kampagnen unterstützen und Angreifern einen ersten Zugang zu Unternehmensnetzwerken verschaffen.

WORKAROUND:

Es sind keine Abhilfemaßnahmen oder Workarounds aufgeführt. Installieren Sie das offizielle Microsoft-Sicherheitsupdate für betroffene Office-Produkte.

DRINGLICHKEIT:

Diese Schwachstelle sollte priorisiert werden, da sie als „kritisch“ eingestuft ist und das Vorschaufenster ein Angriffsvektor darstellt. Auch wenn die Ausnutzung derzeit als „weniger wahrscheinlich“ eingeschätzt wird, erhöhen Angriffspfade über die Dokumentenvorschau das Risiko und verringern den normalerweise erforderlichen Umfang an Benutzerinteraktion.

CVE-2026-35421 – Windows GDI-Schwachstelle zur Remote-Codeausführung

„Eine manipulierte Bilddatei kann die normale Grafikverarbeitung in einen Pfad zur Codeausführung verwandeln.“

In Windows GDI besteht eine kritische Sicherheitslücke zur Remote-Codeausführung aufgrund eines heap-basierten Pufferüberlaufs. Ein unbefugter Angreifer könnte die Schwachstelle lokal ausnutzen, wenn ein Benutzer eine speziell gestaltete Enhanced Metafile-Datei mit Microsoft Paint öffnet oder verarbeitet.

• CVSS-Score: 7,8
• SCHWERWIEGENDKEIT: Kritisch

BEDROHUNG:

Diese Sicherheitslücke könnte es einem Angreifer ermöglichen, über bösartige EMF-Inhalte Code auf einem betroffenen System auszuführen. Eine erfolgreiche Ausnutzung kann zur Ausführung von Malware, zum Datendiebstahl, zur Kompromittierung von Arbeitsstationen und zur weiteren Ausbreitung innerhalb der Organisation führen.

EXPLOITS:

Zum Zeitpunkt der Veröffentlichung berichtet Microsoft, dass die Schwachstelle nicht öffentlich bekannt gegeben und nicht ausgenutzt wurde. Der Reifegrad des Exploit-Codes wird als „unbewiesen“ angegeben, und die Wahrscheinlichkeit einer Ausnutzung wird als „unwahrscheinlich“ eingeschätzt.

TECHNISCHE ZUSAMMENFASSUNG:

CVE-2026-35421 wird durch einen heap-basierten Pufferüberlauf in Windows GDI verursacht. Die Sicherheitslücke wird ausgelöst, wenn speziell gestaltete Enhanced Metafile-Inhalte mit Microsoft Paint geöffnet oder verarbeitet werden, was dazu führt, dass die betroffene Windows-Grafikkomponente den Speicher fehlerhaft verwaltet. Obwohl im Titel „Remote Code Execution“ verwendet wird, ist der CVSS-Angriffsvektor „Lokal“, da die schädliche Datei auf dem Zielrechner verarbeitet werden muss. Eine Benutzerinteraktion ist erforderlich.

AUSNUTZBARKEIT:

Betroffene Software ist Windows GDI. Die Ausnutzung erfordert, dass ein Benutzer eine speziell gestaltete EMF-Datei mit Microsoft Paint öffnet oder verarbeitet. Es sind keine Berechtigungen erforderlich, aber eine Benutzerinteraktion ist notwendig.

AUSWIRKUNGEN AUF DAS UNTERNEHMEN:

Ein erfolgreicher Exploit könnte die Endgeräte von Mitarbeitern kompromittieren, sensible Dateien offenlegen und Angreifern einen Einstiegspunkt für weiterreichende Angriffe verschaffen. Schädliche bildbasierte Dateien können per E-Mail, Downloads oder Dateifreigaben verbreitet werden, wodurch gezielte Angriffe auf Benutzer eine realistische Gefahr darstellen.

WORKAROUND:

Es sind keine Abhilfemaßnahmen oder Workarounds aufgeführt. Installieren Sie das offizielle Microsoft-Sicherheitsupdate.

DRINGLICHKEIT:

Diese Sicherheitslücke sollte priorisiert werden, da sie als „kritisch“ eingestuft ist und über manipulierte Grafikinhalte zur Codeausführung führen kann. Auch wenn eine Ausnutzung als „unwahrscheinlich“ eingeschätzt wird, sind dateibasierte Angriffe nach wie vor eine gängige Methode, um Benutzer anzugreifen.

CVE-2026-32161 – Sicherheitslücke bei der Remote-Codeausführung im nativen Windows-WLAN-Miniport-Treiber

„Ein Angreifer in der Nähe, der sich im selben WLAN-Netzwerk befindet, sollte niemals in der Lage sein, WLAN-Datenverkehr zur Remote-Codeausführung zu nutzen.“

Im nativen Windows-WLAN-Miniport-Treiber besteht eine kritische Sicherheitslücke zur Remote-Codeausführung aufgrund einer Race-Condition und eines Use-after-free-Fehlers. Ein unbefugter Angreifer im selben Netzwerksegment könnte die Sicherheitslücke unter bestimmten zeitlichen und netzwerktechnischen Bedingungen ausnutzen, um Code auf betroffenen Systemen auszuführen.

• CVSS-Score: 7,5
• SCHWERWIEGENDKEIT: Kritisch

BEDROHUNG:

Diese Sicherheitslücke könnte es Angreifern im selben lokalen oder virtuellen Netzwerksegment ermöglichen, aus der Ferne beliebigen Code auf anfälligen Windows-Systemen auszuführen. Eine erfolgreiche Ausnutzung kann zur Kompromittierung von Endgeräten, zur Verbreitung von Malware, zum Diebstahl von Anmeldedaten und zur Störung von drahtlos verbundenen Umgebungen führen.

EXPLOITS:

Zum Zeitpunkt der Veröffentlichung berichtet Microsoft, dass die Schwachstelle nicht öffentlich bekannt gegeben und nicht ausgenutzt wurde. Der Reifegrad des Exploit-Codes wird als „unbewiesen“ angegeben, und die Wahrscheinlichkeit einer Ausnutzung wird als „gering“ eingeschätzt.

TECHNISCHE ZUSAMMENFASSUNG:

CVE-2026-32161 wird durch die gleichzeitige Ausführung unter Verwendung gemeinsam genutzter Ressourcen mit unsachgemäßer Synchronisation verursacht, was allgemein als Race Condition bekannt ist, sowie durch einen Use-after-free-Fehler im Windows Native WiFi Miniport Driver. Die Sicherheitslücke tritt auf, wenn der Treiber Speicher und Synchronisation während des Betriebs im drahtlosen Netzwerk unsachgemäß handhabt. Ein Angreifer im selben Netzwerksegment kann günstige Zeitbedingungen ausnutzen, um eine Speicherbeschädigung auszulösen und vom Angreifer kontrollierten Code auszuführen.

Der Angriffsvektor ist „Adjacent“, was bedeutet, dass die Ausnutzung auf Systeme beschränkt ist, die mit demselben Netzwerksegment, Switch oder virtuellen Netzwerk verbunden sind wie der Angreifer. Microsoft weist darauf hin, dass die Ausnutzung bestimmte Netzwerkkonfigurationen und zeitliche Bedingungen erfordert, was eine zuverlässige Ausnutzung erschwert.

AUSNUTZBARKEIT:

Betroffene Software ist der Windows Native WiFi Miniport Driver. Die Ausnutzung erfordert, dass sich der Angreifer im selben Netzwerksegment wie das Zielsystem befindet. Es sind keine Berechtigungen oder Benutzerinteraktionen erforderlich.

AUSWIRKUNGEN AUF DAS UNTERNEHMEN:

Sicherheitslücken in der drahtlosen Infrastruktur können Endgeräte, Roaming-Geräte und Remote-Arbeitsumgebungen von Unternehmen gefährden. Eine erfolgreiche Ausnutzung könnte es Angreifern ermöglichen, in lokalen Netzwerksegmenten Fuß zu fassen und potenziell tiefer in Unternehmenssysteme vorzudringen.

WORKAROUND:

Es sind keine Abhilfemaßnahmen oder Workarounds aufgeführt. Unternehmen sollten das offizielle Microsoft-Sicherheitsupdate so schnell wie möglich installieren.

DRINGLICHKEIT:

Diese Schwachstelle sollte bei drahtlosfähigen Unternehmenssystemen priorisiert werden, da sie die Remote-Codeausführung ohne Authentifizierung oder Benutzerinteraktion ermöglicht. Obwohl die Ausnutzung einen angrenzenden Netzwerkzugang und komplexe zeitliche Bedingungen erfordert, bleiben drahtlose Angriffspfade attraktive Ziele in gemeinsamen Büro-, Campus- und öffentlichen Netzwerkumgebungen.

CVE-2026-40372 – ASP.NET Core-Sicherheitslücke zur Rechteausweitung

„Wenn die Signaturvalidierung versagt, benötigen Angreifer keine Anmeldedaten – sie können Vertrauen vortäuschen und direkt die Kontrolle auf SYSTEM-Ebene erlangen.“

Diese Schwachstelle in ASP.NET Core entsteht durch eine unsachgemäße Überprüfung kryptografischer Signaturen innerhalb der Data Protection-Komponente. Unter bestimmten Bedingungen – insbesondere in Nicht-Windows-Umgebungen, die betroffene Paketversionen verwenden – kann ein Angreifer bösartige Payloads erstellen, die Integritätsprüfungen umgehen. Dies ermöglicht eine unbefugte Rechteausweitung über das Netzwerk, ohne dass eine Authentifizierung oder Benutzerinteraktion erforderlich ist, was potenziell Zugriff auf SYSTEM-Ebene gewährt und die Offenlegung oder Manipulation sensibler Daten ermöglicht.

• CVSS-Score: 9,1
• SCHWERWIEGENDKEIT: Kritisch

BEDROHUNG: Diese Schwachstelle untergräbt eine der grundlegendsten Sicherheitsgarantien – die Datenintegrität. Wenn Angreifer vertrauenswürdige Payloads fälschen können, können sie sich als Benutzer ausgeben, Berechtigungen ausweiten und das Anwendungsverhalten manipulieren, ohne entdeckt zu werden. Das Risiko ist besonders hoch, da die Ausnutzung keinen vorherigen Zugriff erfordert und aus der Ferne ausgeführt werden kann.

EXPLOITS:

Derzeit sind keine öffentlichen Exploits oder Proof-of-Concept-Codes bestätigt. Die Schwachstelle wurde nicht öffentlich als ausgenutzt bekannt gegeben, und eine Ausnutzung wird zum jetzigen Zeitpunkt als unwahrscheinlich angesehen. Die Einfachheit des Angriffsvektors und das Fehlen erforderlicher Berechtigungen erhöhen jedoch die Wahrscheinlichkeit einer zukünftigen Ausnutzung.

TECHNISCHE ZUSAMMENFASSUNG:

Die Schwachstelle wird durch eine unsachgemäße Überprüfung kryptografischer Signaturen (CWE-347) in der ASP.NET Core Data Protection-Bibliothek verursacht, insbesondere in den Versionen 10.0.0 bis 10.0.6. Ein Fehler in der verwalteten kryptografischen Implementierung führt zu einer fehlerhaften Validierung geschützter Nutzdaten, wodurch manipulierte oder gefälschte Daten als gültig behandelt werden können. Dies betrifft Authentifizierungstoken, Cookies und andere geschützte Datenstrukturen. Das Problem betrifft in erster Linie Anwendungen, die unter Linux, macOS oder Nicht-Windows-Systemen laufen, auf denen verwaltete Kryptografie verwendet wird. Windows-Systeme, die die standardmäßige CNG-basierte Verschlüsselung verwenden, sind nicht betroffen, sofern sie nicht explizit für die Verwendung verwalteter Algorithmen konfiguriert wurden.

AUSNUTZBARKEIT:

Zu den betroffenen Systemen gehören ASP.NET Core-Anwendungen, die Microsoft.

AspNetCore.DataProtection in den Versionen 10.0.0–10.0.6, insbesondere in eigenständigen Bereitstellungen oder wenn das NuGet-Paket das gemeinsame Framework überschreibt. Die Ausnutzung erfolgt durch das Senden speziell gestalteter Nutzdaten an die Anwendung, um die Signaturvalidierung zu umgehen und erweiterte Berechtigungen zu erlangen.

AUSWIRKUNGEN AUF DAS GESCHÄFT:

Diese Sicherheitslücke kann zu einer vollständigen Kompromittierung der Vertrauensgrenzen der Anwendung führen. Angreifer können sich Privilegien auf SYSTEM-Ebene verschaffen, auf sensible Daten zugreifen, kritische Datensätze ändern und gültige Authentifizierungsartefakte generieren, die auch nach der Behebung bestehen bleiben. Dies birgt Risiken hinsichtlich langfristiger Persistenz, Datenverletzungen, Verstößen gegen Vorschriften und Reputationsschäden.

ABHILFE:

Wenn ein Patch nicht sofort verfügbar ist, sollten Sie die Verwendung betroffener Versionen des Data Protection-Pakets vermeiden, sicherstellen, dass Anwendungen auf das gemeinsame Framework zurückgreifen, sofern dies sicher ist, die Exposition anfälliger Dienste einschränken und Protokolle auf Anomalien wie wiederholte Fehler bei ungültigen Payloads überwachen. Der Übergang zu nicht betroffenen Umgebungen oder Konfigurationen kann das Risiko vorübergehend verringern.

DRINGLICHKEIT:

Die Kombination aus netzwerkbasierter Ausnutzung, fehlender Authentifizierungsanforderung und erheblichen Auswirkungen auf Vertraulichkeit und Integrität macht diese Schwachstelle extrem gefährlich. Auch wenn bisher noch keine Ausnutzung beobachtet wurde, sind die Bedingungen ideal für eine rasche Übernahme durch Angreifer. Ein sofortiges Patchen, kombiniert mit der Validierung von Laufzeit-Binärdateien und der Schlüsselrotation, ist entscheidend, um sowohl eine anfängliche Kompromittierung als auch eine Persistenz nach dem Patchen zu verhindern.

CVE-2026-20929 – Windows HTTP.sys-Sicherheitslücke zur Rechteausweitung

„Diese Schwachstelle verwandelt einen vertrauenswürdigen Netzwerkzugang in eine Möglichkeit, innerhalb von Windows weiter aufzusteigen, wodurch eine routinemäßige Kompromittierung weitaus gefährlicher wird.“

CVE-2026-20929 ist eine hochgradige Sicherheitslücke zur Rechteausweitung in Microsoft Windows HTTP.sys, die durch eine unsachgemäße Zugriffskontrolle verursacht wird. Sie ermöglicht es einem autorisierten Angreifer, über ein Netzwerk hinweg Berechtigungen zu erweitern, was bedeutet, dass ein Angreifer, der bereits über einen gewissen Zugriff verfügt, die Schwachstelle nutzen könnte, um eine stärkere Kontrolle über ein betroffenes System zu erlangen. Obwohl hier keine bestätigten öffentlichen Exploits aufgeführt sind, ist das Problem dennoch schwerwiegend, da Schwachstellen zur Rechteausweitung Angreifern oft dabei helfen, ein Eindringen zu vertiefen, den Zugriff zu erweitern und die Persistenz nach einem anfänglichen Einbruch zu stärken.

• CVSS-Score: 7,5
• SCHWERWIEGENDKEIT: Hoch

BEDROHUNG:

Ein autorisierter Angreifer könnte eine unsachgemäße Zugriffskontrolle in Windows HTTP.sys ausnutzen, um über ein Netzwerk Berechtigungen zu erweitern. Dies macht die Schwachstelle besonders besorgniserregend in Umgebungen, in denen Angreifer möglicherweise bereits über einen Zugang mit geringen Berechtigungen verfügen und versuchen, administrative Kontrolle zu erlangen.

EXPLOITS:

In den bereitgestellten Daten ist keine bestätigte aktive Ausnutzung vermerkt. Es gibt hier auch keinen eindeutigen öffentlichen Zero-Day-Status. Da es sich jedoch um ein netzwerkbasiertes Problem der Rechteausweitung in einer zentralen Windows-Komponente handelt, sollten Sicherheitsteams davon ausgehen, dass ein Interesse an Exploits wahrscheinlich ist, sobald die Analyse des Patches weit verbreitet ist.

TECHNISCHE ZUSAMMENFASSUNG:

CVE-2026-20929 betrifft Windows HTTP.sys, den HTTP-Protokollstack auf Kernel-Ebene, der von Windows zur Verarbeitung des Webverkehrs und zur Unterstützung HTTP-basierter Dienste verwendet wird. Die Schwachstelle wird durch eine unsachgemäße Zugriffskontrolle verursacht, was bedeutet, dass HTTP.sys unter bestimmten Bedingungen Einschränkungen nicht korrekt durchsetzt. Ein Angreifer mit autorisiertem Zugriff kann diese Schwachstelle über das Netzwerk ausnutzen, um erweiterte Berechtigungen auf dem Zielsystem zu erlangen. Da HTTP.sys in einem Bereich des Betriebssystems mit hohen Berechtigungen arbeitet, kann eine erfolgreiche Ausnutzung schwerwiegende Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit haben. In der Praxis kann diese Schwachstelle einem Angreifer helfen, von einem eingeschränkten Zugriff zu einer weitaus mächtigeren Position auf dem Host zu gelangen, was die Wahrscheinlichkeit einer tiefergehenden Kompromittierung und Folgeangriffen erhöht.

AUSNUTZBARKEIT:

Betroffene Versionen sind Windows 10 Version 1607 und andere unterstützte Windows-Versionen, die die anfällige HTTP.sys-Komponente vor den entsprechenden Sicherheitsupdates verwenden. Unter Windows 10 Version 1607 sind Builds vor 10.0.14393.8783 anfällig. Für die Ausnutzung muss der Angreifer bereits über eine gewisse Berechtigung verfügen und in der Lage sein, das Ziel über das Netzwerk zu erreichen.

AUSWIRKUNGEN AUF DAS UNTERNEHMEN:

Diese Sicherheitslücke ist gefährlich, da sie Angreifern helfen kann, eine kleine Sicherheitsverletzung in einen schwerwiegenden Sicherheitsvorfall zu verwandeln. Eine geringfügige Kompromittierung, die andernfalls eingedämmt werden könnte, kann zum Sprungbrett für privilegierten Zugriff, umfassendere Systemkontrolle und stärkere Persistenz werden. Aus geschäftlicher Sicht kann dies zu Dienstunterbrechungen, unbefugtem Zugriff auf sensible Daten, Schäden an kritischen Systemen und erhöhten Wiederherstellungskosten führen. Mächtige Schwachstellen zur Privilegienerweiterung werden oft zum Kraftmultiplikator, der gewöhnliche Einbruchsaktivitäten in eine vollwertige Betriebskrise verwandelt.

WORKAROUND:

Die bevorzugte Abhilfemaßnahme ist die Installation des Sicherheitsupdates von Microsoft. Wenn der Patch nicht sofort bereitgestellt werden kann, verringern Sie das Risiko, indem Sie den Zugriff auf betroffene Systeme einschränken, unnötige HTTP-basierte Dienste beschränken, sensible Hosts segmentieren und verdächtige Aktivitäten zur Privilegienerweiterung im Zusammenhang mit HTTP-Diensten genau überwachen. Es gibt keinen wirksamen Ersatz für das Patchen.

Sicherheitsupdates vom Patch Tuesday im Mai 2026