Microsoft startet das Jahr 2026 mit einem massiven Sicherheitspaket. Am ersten Patchday des Jahres, dem 13. Januar 2026, wurden insgesamt 114 Sicherheitslücken geschlossen. Besonders besorgniserregend sind dabei drei Zero-Day-Schwachstellen, von denen eine bereits aktiv für gezielte Angriffe ausgenutzt wird.

Hier ist die detaillierte Analyse der wichtigsten Sicherheitsupdates für IT-Administratoren und Sicherheitsexperten.

Die Highlights im Überblick

• Gesamtzahl der Patches: 114 (darunter 8 als „Kritisch“ eingestuft)
• Zero-Days: 3 (1 aktiv ausgenutzt, 2 öffentlich bekannt)
• Schwachstellen-Kategorien:
  • 57 Erhöhungen von Privilegien (Elevation of Privilege)
  • 22 Remote Code Execution (RCE)
  • 22 Offenlegung von Informationen (Information Disclosure)
  • 5 Spoofing-Schwachstellen
  • 3 Umgehungen von Sicherheitsfunktionen (Security Feature Bypass)
  • 2 Denial of Service (DoS)

Detaillierte Analyse der Zero-Day-Schwachstellen

Drei Sicherheitslücken erfordern diesen Monat sofortiges Handeln, da sie entweder bereits aktiv angegriffen werden oder Informationen über sie bereits vorab im Umlauf waren.

1. CVE-2026-20805: Information Disclosure im Desktop Window Manager (DWM)

Status: Aktiv ausgenutzt („Exploited in the wild“)

Schweregrad: Wichtig (CVSS 5.5)

Der Desktop Window Manager (DWM) ist eine zentrale Windows-Komponente, die für das Zeichnen der grafischen Benutzeroberfläche zuständig ist.

• Das Risiko: Diese Schwachstelle ermöglicht es einem lokalen Angreifer mit geringen Berechtigungen, sensible Speicheradressen über einen Remote-ALPC-Port (Advanced Local Procedure Call) auszulesen.
• Die Tragweite: Auch wenn eine „Information Disclosure“ auf dem Papier weniger gefährlich wirkt als eine Code-Ausführung, ist sie oft der entscheidende erste Schritt. Angreifer nutzen diese Lücke, um die Address Space Layout Randomization (ASLR) zu umgehen. Sobald die Speicherstruktur des Systems bekannt ist, können andere Sicherheitslücken (wie Buffer Overflows) wesentlich präziser und zuverlässiger für eine vollständige Systemübernahme genutzt werden. Da die CISA (Cybersecurity and Infrastructure Security Agency) bereits vor dieser Lücke warnt, ist schnelles Patching hier oberste Priorität.

2. CVE-2026-21265: Security Feature Bypass in Secure Boot

Status: Öffentlich bekannt

Schweregrad: Wichtig (CVSS 6.4)

Diese Schwachstelle betrifft das Fundament der Windows-Sicherheit: den Boot-Prozess.

• Das Problem: Microsoft-Zertifikate für Secure Boot aus dem Jahr 2011 erreichen in diesem Jahr ihr Ablaufdatum. Bestimmte Firmware-Implementierungen könnten bei der Rotation dieser Zertifikate Fehler aufweisen.
• Das Risiko: Ein Angreifer könnte diese fehlerhafte Zertifikatsprüfung nutzen, um Sicherheitsfunktionen von Secure Boot zu umgehen und bösartige Bootloader zu laden (ähnlich wie beim berüchtigten BlackLotus-Bootkit). Microsoft hat mit diesem Patch neue 2023-Zertifikate in die Trust-Chain integriert. Administratoren müssen beachten, dass hier neben dem Windows-Patch eventuell auch manuelle Schritte zur Aktualisierung der DBX (Revocation List) notwendig sein könnten.

3. CVE-2023-31096: Elevation of Privilege im Agere Soft Modem Driver

Status: Öffentlich bekannt

Schweregrad: Wichtig (CVSS 7.8)

Hierbei handelt es sich um eine kuriose, aber gefährliche Altlast. Es betrifft Treiber von Drittanbietern (Agere), die seit Jahrzehnten nativ mit Windows ausgeliefert wurden.

• Die Lösung: Microsoft hat sich dazu entschieden, die Treiber agrsm64.sys und agrsm.sys mit dem Januar-Update vollständig aus dem Betriebssystem zu entfernen.
• Das Risiko: Da die Schwachstelle bereits seit 2023 öffentlich dokumentiert war, bot sie ein leichtes Ziel für Angreifer, um lokale SYSTEM-Berechtigungen zu erlangen. Da kaum noch jemand physische Soft-Modems nutzt, ist die Entfernung die sicherste Methode, um diese Angriffsfläche dauerhaft zu schließen.

Kritische Infrastruktur-Updates

Schwere Lücken in Microsoft Office (CVE-2026-20952, CVE-2026-20953)

Besonders hervorzuheben sind zwei kritische RCE-Lücken in Word und Excel. Diese können bereits durch das bloße Anzeigen einer manipulierten Datei im Vorschaufenster (Preview Pane) von Outlook ausgelöst werden. Ein Nutzer muss die Datei also nicht einmal aktiv öffnen, um das System zu kompromittieren.

Windows Graphics (Virtualization Escape)

Ein Fehler in der Windows Graphics-Komponente ermöglichte es Angreifern in virtualisierten Umgebungen (z. B. Azure oder Hyper-V), aus einer Gast-VM auszubrechen und Zugriff auf den zugrunde liegenden Host-Server zu erhalten. Dies ist ein hochkritisches Szenario für Cloud-Anbieter und Unternehmen mit VDI-Infrastrukturen.

Die Sicherheitsupdates vom Patch Tuesday im Januar 2026

Nachfolgend finden Sie die vollständige Liste der behobenen Sicherheitslücken in den Updates vom Patch Tuesday im Januar 2026.