Exchange Server Update Mai 2026: Warum Sie jetzt handeln müssen

E-Mail-Server sind das Rückgrat fast jeder Firma. Aber genau deshalb sind sie auch das Lieblingsziel von Angreifern. Wenn Microsoft am Patchday ein neues Exchange Server Update veröffentlicht, ist das für IT-Admins oft der Startschuss für eine Nachtschicht. Im Mai 2026 geht es aber um mehr als nur das Schließen einer Sicherheitslücke. Es ist der Beginn einer architektonischen Zeitenwende für alle, die Exchange betreiben – egal ob in der Cloud oder im eigenen Keller.

Ich weiß, dass Updates oft Stress bedeuten. Man hat Angst, dass nach dem Neustart die Dienste nicht hochfahren oder die Datenbanken streiken. Aber die Alternative – ein gehacktes System oder eine kaputte Hybrid-Anbindung – ist weitaus schlimmer. In diesem Artikel schauen wir uns an, was im aktuellen Hotfix steckt, warum das Ende von EWS (Exchange Web Services) Ihre Planung dominieren wird und was das alles für reine On-Prem-Umgebungen bedeutet.

Was ist neu im Exchange Server Update vom Mai 2026?

Das aktuelle Update ist ein sogenanntes Hotfix Update (HU). Im Gegensatz zu den großen Cumulative Updates (CU) konzentriert sich ein HU gezielt auf zwei Bereiche: Sicherheitskorrekturen und die Vorbereitung auf die Zukunft der Cloud-Konnektivität.

1. Die Sicherheitslücke (EoP)

Im Fokus steht die Behebung einer „Elevation of Privilege“ (EoP) Schwachstelle. Angreifer könnten diese Lücke nutzen, um sich höhere Rechte auf Ihrem Server zu verschaffen. Wenn jemand erst einmal Admin-Rechte auf dem Exchange hat, gehört ihm praktisch das gesamte Active Directory. Das Update schließt diese Lücke und sorgt dafür, dass Ihr System wieder den aktuellen Sicherheitsstandards entspricht.

2. Der Wechsel zu Microsoft Graph (Der „Gamechanger“)

Das ist der Punkt, der viele Hybrid-Admins kalt erwischen könnte. Das Mai 2026 Update enthält die Funktionalität, um die sogenannte „Rich Coexistence“ (Frei/Gebucht-Zeiten, MailTips, Profilbilder) von EWS auf die REST-basierte Microsoft Graph API umzustellen. Microsoft schaltet EWS in der Cloud bald ab. Wer jetzt nicht handelt, wird im April 2027 feststellen, dass die Zusammenarbeit zwischen lokalem Server und Cloud plötzlich nicht mehr funktioniert.

Entwarnung für „Pure On-Prem“: Was, wenn ich keine Cloud nutze?

Ich höre oft von Admins: „Wir nutzen kein Entra ID, kein M365 und kein Azure. Was geht mich diese Graph-Migration an?“

Die kurze Antwort: Technisch gesehen betrifft Sie die Graph-Migration für „Rich Coexistence“ nicht.

Wenn Ihr Exchange Server eine Insel ist, die nur interne Postfächer bedient und keine Verbindung zu Exchange Online hält, müssen Sie keinen PowerShell-Befehl für Graph absetzen. Microsoft Graph ist eine Cloud-API. Ohne Cloud-Anbindung gibt es für Ihren Server nichts, wohin er „graphen“ könnte.

Aber (und das ist ein großes Aber):

• Die Sicherheitslücke bleibt: Die EoP-Schwachstelle ist für jeden Exchange Server gefährlich, der im Netz hängt. Der Patch ist für Sie also genauso überlebenswichtig wie für Hybrid-Kunden.
• Support-Ende von 2016/2019: Auch ohne Cloud-Pläne müssen Sie sich mit der Exchange Server Subscription Edition (SE) beschäftigen. Exchange 2016 und 2019 nähern sich dem Ende ihres Lebenszyklus. Wer weiterhin Sicherheitsupdates erhalten möchte, kommt um den Wechsel auf die SE-Version nicht herum.
• Interne Applikationen: Viele Ihrer internen Tools (Backup, Archivierung, CRM) nutzen EWS lokal auf Ihrem Server. Das bleibt vorerst erhalten. Microsoft schaltet EWS in der Cloud ab, nicht die lokale Schnittstelle auf Ihrem eigenen Server. Dennoch ist es ratsam, bei künftigen Software-Anschaffungen auf moderne Schnittstellen zu achten.

Die bittere Pille: Exchange 2016 und 2019 bleiben außen vor

Hier wird es politisch und technisch ungemütlich. Microsoft hat zwar Patches für die alten Versionen veröffentlicht:

• Exchange Server 2019 (CU14 und CU15)
• Exchange Server 2016 (CU23)

Aber Vorsicht: Diese Versionen erhalten lediglich die Sicherheits-Fixes. Die neue Graph-Unterstützung für Hybrid-Szenarien gibt es nur für die Exchange Server Subscription Edition (SE).

Das bedeutet im Klartext: Wenn Sie doch irgendwann eine Hybrid-Anbindung planen oder bereits nutzen, haben Sie mit den alten Versionen ein Verfallsdatum. Spätestens im April 2027 schaltet Microsoft EWS in Exchange Online ab. Ein Upgrade auf Exchange SE ist also für die meisten Firmen eine zwingende Voraussetzung.

Warum das Hotfix Update so wichtig für Ihre Sicherheit ist

Manche Admins denken: „Wir haben eine Firewall und nutzen MFA, uns passiert schon nichts.“ Das ist leider ein gefährlicher Irrtum. Sicherheitslücken wie die aktuelle EoP-Vulnerability greifen oft an Stellen an, an denen klassische Schutzwälle bereits überwunden wurden oder gar nicht greifen.

Ein Sicherheitsupdate ist Ihre letzte Verteidigungslinie. Ohne diesen Patch bleibt die Tür für versierte Hacker einen Spalt weit offen. In der Vergangenheit haben wir gesehen, wie schnell Exploit-Code nach der Veröffentlichung von Updates im Netz landet. Zeit ist hier also der entscheidende Faktor.

Die Gefahr von Privilege Escalation

Bei einer Rechteausweitung muss der Angreifer nicht einmal Ihr Passwort kennen. Er nutzt einen Fehler im Code des Servers aus, um von einem normalen Benutzerkonto auf die Ebene des System-Admins aufzusteigen. Das ist so, als würde ein Gast in einem Hotel plötzlich den Generalschlüssel für alle Zimmer erhalten. Das aktuelle Mai-Update nimmt den Angreifern diesen Schlüssel wieder weg.

Deep Dive: Die Migration zu Microsoft Graph API (Hybrid-Fokus)

Wenn Sie bereits auf Exchange SE migriert sind und Hybrid nutzen, ist das Mai-Update Ihr Startschuss für die „Stage 2“.

Was ist „Rich Coexistence“?

Vielleicht fragen Sie sich: „Brauche ich das überhaupt?“ Wenn Ihre Nutzer im Outlook sehen wollen, ob ein Kollege in der Cloud gerade in einem Meeting ist (Free/Busy), oder wenn sie beim Tippen einer Mail gewarnt werden wollen, dass der Empfänger im Urlaub ist (MailTips), dann nutzen Sie Rich Coexistence. Bisher lief das alles über EWS.

Die Deadline im Nacken

• Oktober 2026: Ab diesem Zeitpunkt wird EWS in vielen Tenants bereits eingeschränkt.
• April 2027: EWS wird in Exchange Online endgültig abgeschaltet.

Wer bis dahin seine hybride Konfiguration nicht auf die neue „dedicated Exchange hybrid app“ und die Graph-Berechtigungen umgestellt hat, wird mit Ticket-Anfragen von verärgerten Nutzern überhäuft werden.

Vorbereitung: So machen Sie Ihren Server bereit für das Patching

Bevor Sie auf „Installieren“ klicken, ist eine gute Vorbereitung die halbe Miete. Ich habe schon zu viele Server gesehen, die nach einem abgebrochenen Update im „Limbus“ hingen. Das lässt sich fast immer durch einfache Schritte vermeiden.

Prüfen Sie zuerst Ihren aktuellen Patch-Stand. Der Exchange HealthChecker ist hier Ihr bester Freund. Dieses Skript zeigt Ihnen sofort, ob Ihr Server die nötigen Voraussetzungen erfüllt.

Checkliste vor der Installation:

• Vollständiges Backup: Erstellen Sie ein Backup der virtuellen Maschine (Snapshot) und der Datenbanken.
• Speicherplatz prüfen: Stellen Sie sicher, dass auf dem Systemlaufwerk mindestens 10 GB freier Platz sind.
• Admin-Rechte: Sie müssen die Installation mit erhöhten Rechten ausführen.
• Wartungsfenster: Informieren Sie die Nutzer. Exchange-Updates dauern oft länger als geplant.

Schritt-für-Schritt-Anleitung: Installation des Exchange Hotfixes

Es gibt zwei Wege, das Update einzuspielen. Entweder nutzen Sie Windows Update oder Sie laden das Paket manuell als .msp-Datei herunter. Ich persönlich bevorzuge den manuellen Weg, da man hier mehr Kontrolle über den Prozess hat.

Installation via Windows Update

Falls Ihr Server so konfiguriert ist, finden Sie das Update unter „Optionale Updates“ oder direkt in der Liste der wichtigen Sicherheitsupdates. Der Vorteil: Windows kümmert sich um den Neustart der Dienste. Der Nachteil: Man sieht bei Fehlern oft nur kryptische Codes.

Manueller Download und Installation

1. Laden Sie das Paket (KB5081755 für Exchange SE) von der offiziellen Microsoft-Seite herunter.
2. Öffnen Sie die Eingabeaufforderung (CMD) unbedingt als Administrator.
3. Navigieren Sie zum Pfad der Datei und führen Sie sie aus: msiexec /p ExchangeSE-KB5081755-x64-en.msp.
4. Folgen Sie den Anweisungen und lassen Sie das System danach neu starten.

Wichtig: Klicken Sie niemals einfach doppelt auf die Datei im Explorer. Das führt oft dazu, dass die Installation zwar durchläuft, aber wichtige Registrierungsschlüssel nicht gesetzt werden, weil die nötigen Rechte fehlen.

Nach der Installation: Graph API aktivieren (Nur für Hybrid-Szenarien)

Wenn das Update installiert ist, ist der Server zwar sicher, aber die Hybrid-Konnektivität nutzt standardmäßig immer noch EWS. Rein lokale Umgebungen ignorieren diesen Schritt bitte. Alle anderen müssen aktiv werden.

Der PowerShell-Befehl

Nachdem Sie sichergestellt haben, dass Sie die dedizierte Hybrid-App in Entra ID konfiguriert haben, müssen Sie die Funktion auf dem lokalen Server freischalten. Nutzen Sie dazu die Exchange Management Shell (EMS) mit Administratorrechten:

New-SettingOverride -Name "EnableGraphHybridCoexistence" -Component "CloudService" -Section "HybridConfiguration" -Parameters @("Enabled=true") -Reason "Migration from EWS to Graph"

Nachdem Sie diesen Befehl ausgeführt haben, müssen Sie den Microsoft Exchange Active Directory Topology Dienst neu starten. Danach beginnt Ihr Server, für Anfragen an die Cloud die moderne Graph-Schnittstelle zu nutzen.

Häufige Probleme und wie Sie sie lösen

Es läuft nicht immer alles glatt. Eines der häufigsten Probleme nach einem Exchange Server Update ist, dass die Exchange-Dienste auf „Deaktiviert“ stehen bleiben. Das passiert oft, wenn die Installation vorzeitig abgebrochen wird oder ein Fehler auftritt.

Keine Panik. Schauen Sie in die Diensteverwaltung (services.msc). Wenn die Dienste auf „Disabled“ stehen, setzen Sie sie manuell auf „Automatisch“ und starten Sie sie. Prüfen Sie danach im Event Viewer unter „Anwendung“ nach Fehlern mit der Quelle „MSExchange Common“.

Wenn das Update abbricht

Sollte die Installation mit einem Fehler abbrechen, löschen Sie die temporären Dateien im Ordner C:\Windows\Temp. Starten Sie den Server neu und versuchen Sie es erneut. Oft blockiert ein Virenscanner den Zugriff auf bestimmte Dateien. Ein Blick in das Setup-Log unter C:\ExchangeSetupLogs\ServiceUpdate gibt meist den entscheidenden Hinweis.

Nach dem Update: Kontrolle ist besser als Vertrauen

Nutzen Sie erneut das Exchange HealthChecker Skript. Es zeigt Ihnen die neue Versionsnummer an und bestätigt, dass die Sicherheitslücke geschlossen ist. Für Exchange SE Kunden zeigt es auch an, ob die Graph-Migration erfolgreich eingeleitet wurde. Erst wenn hier alles grün ist, sollten Sie den Snapshot der VM löschen.

Warum der HealthChecker unverzichtbar ist

Dieses Tool prüft nicht nur die Version, sondern auch, ob die nötigen Konfigurationen (wie Extended Protection) korrekt gesetzt sind. Ohne dieses Tool tappen Sie im Dunkeln.

Die Rolle von Extended Protection beim Exchange Patching

Extended Protection verhindert Man-in-the-Middle-Angriffe, indem es die Authentifizierung stärker an den TLS-Kanal bindet. Das aktuelle Update vom Mai 2026 setzt voraus, dass Ihre Konfiguration sauber ist. Der HealthChecker warnt Sie, falls hier Handlungsbedarf besteht. Denken Sie daran: Sicherheit ist kein Ziel, sondern ein fortlaufender Prozess.

Fazit: Sicherheit ist ein Dauerlauf, kein Sprint

Das Exchange Server Update vom Mai 2026 ist weit mehr als eine lästige Wartungsaufgabe. Für reine On-Premise-Umgebungen ist es vor allem ein Pflichttermin für die Sicherheit. Für Hybrid-Admins ist es der lebensnotwendige Rettungsring vor dem EWS-Ende.

Warten Sie nicht bis zum Wochenende oder bis zum April 2027. Planen Sie das Update für die nächsten Tage ein. Ein sicherer und zukunftsfähiger Mailserver ist die beste Visitenkarte für eine IT-Abteilung, die ihre Infrastruktur im Griff hat.

Meine Empfehlung: Installieren Sie das Hotfix sofort wegen der Sicherheitslücke. Auch wenn Sie keine Cloud nutzen: Prüfen Sie Ihren Upgrade-Pfad zu Exchange SE, um langfristig im Support-Rahmen zu bleiben. Viel Erfolg beim Patching!

Sicherheitsexperten blicken in diesem Monat mit Sorge auf die Veröffentlichungen von Microsoft. Der aktuelle Patchday im Februar 2026 ist kein gewöhnlicher Wartungstermin. Mit insgesamt 58 behobenen Schwachstellen, darunter sechs aktiv ausgenutzte Zero-Day-Lücken, steht die IT-Welt unter Zugzwang.

In einer Zeit, in der Ransomware-Gruppen und staatlich akteurierte Hacker schneller denn je auf neue Sicherheitslücken reagieren, ist ein proaktives Schwachstellen-Management überlebenswichtig für Unternehmen jeder Größe. Dieser Artikel bietet Ihnen eine tiefgreifende Analyse der Bedrohungslage, stellt die gefährlichsten Schwachstellen vor und gibt Ihnen einen klaren Schlachtplan für die Bereitstellung der Sicherheitsupdates an die Hand. Wenn Sie wissen wollen, wie Sie Ihre Windows-Umgebung im Februar 2026 absichern, sind Sie hier genau richtig.

Die nackten Zahlen: Eine Übersicht des Februar-Updates

Bevor wir in die technischen Details der Zero-Day-Lücke eintauchen, werfen wir einen Blick auf die Statistik des aktuellen Patch-Zyklus. Microsoft hat im Februar 2026 insgesamt 58 Sicherheitslücken geschlossen.

Verteilung nach Schweregrad

• Kritisch (Critical): 7
• Wichtig (Important): 50
• Moderat (Moderate): 1

Die betroffenen Produkte umfassen das gesamte Microsoft-Ökosystem, von Windows 11 und Windows Server 2025 bis hin zu Microsoft Office, Azure und dem Edge-Browser. Besonders auffällig ist die hohe Anzahl an Lücken, die eine Remote-Code-Execution (RCE) ermöglichen – also das Ausführen von Schadcode aus der Ferne.

Brennpunkt: Die 6 aktiv ausgenutzten Zero-Day-Lücken

Das größte Risiko für Ihre Cyber-Sicherheit geht von Schwachstellen aus, für die bereits Exploits im Umlauf sind. Im Februar 2026 hat Microsoft sechs solcher Lücken identifiziert und gepatcht.

CVE-2026-23655 – Microsoft ACI Confidential Containers Information Disclosure Vulnerability

„Ein einziger Fehler bei der Speicherung von Geheimnissen kann Schlüssel offenlegen, die ganze Cloud-Umgebungen freischalten.“

CVE-2026-23655 ist eine kritische Sicherheitslücke, die Microsoft Azure Container Instances (ACI) Confidential Containers betrifft. Das Problem entsteht durch die Speicherung sensibler Daten im Klartext, wodurch ein autorisierter Angreifer über das Netzwerk auf geheime Tokens und kryptografische Schlüssel zugreifen kann. Obwohl keine aktive Ausnutzung beobachtet wurde, macht die Art der offengelegten Daten diese Sicherheitslücke in Cloud- und Unternehmensumgebungen hochsensibel.

CVSS-Score: 6,5
SCHWERWIEGENDHEIT: Kritisch
BEDROHUNG: Offenlegung von Informationen

EXPLOITS: Zum Zeitpunkt der Veröffentlichung sind keine öffentlich bekannt gewordenen Exploits oder Angriffe in freier Wildbahn bekannt. Microsoft stuft die Ausnutzung als unwahrscheinlich ein, und es wurde kein Proof-of-Concept-Code veröffentlicht.

TECHNISCHE ZUSAMMENFASSUNG: Die Schwachstelle wird durch die unsachgemäße Behandlung sensibler Informationen innerhalb der Azure Compute-Infrastruktur verursacht, die ACI Confidential Containers unterstützt. Bestimmte Geheimnisse, darunter Tokens und Schlüssel, werden möglicherweise im Klartext gespeichert, anstatt sicher geschützt zu werden. Ein Angreifer mit geringen Berechtigungen und autorisiertem Zugriff könnte diese Daten über das Netzwerk abrufen, was zu einer unbeabsichtigten Offenlegung vertraulicher Informationen führen würde.

AUSNUTZBARKEIT: Dieses Problem betrifft Azure-Umgebungen, die ACI Confidential Containers verwenden. Die Ausnutzung erfordert geringe Berechtigungen, aber keine Benutzerinteraktion. Ein Angreifer, der bereits über autorisierten Zugriff verfügt, könnte die Schwachstelle aus der Ferne ausnutzen, um an sensible Geheimnisse zu gelangen.

AUSWIRKUNGEN AUF DAS GESCHÄFT: Die Offenlegung geheimer Tokens und kryptografischer Schlüssel kann schwerwiegende Folgen für Unternehmen haben, die sensible Workloads in Azure ausführen. Kompromittierte Geheimnisse können seitliche Bewegungen, unbefugten Zugriff auf Cloud-Ressourcen, Datenoffenlegung oder Dienstmissbrauch ermöglichen. In regulierten oder vertrauensintensiven Umgebungen kann dies zu Compliance-Verstößen, Reputationsschäden und dem Verlust des Kundenvertrauens führen.

WORKAROUND: Wenn eine sofortige Patch-Installation nicht möglich ist, sollten Unternehmen den Zugriff auf betroffene Containerumgebungen minimieren, Geheimnisse häufig rotieren und Zugriffsberechtigungen überprüfen, um sicherzustellen, dass nur unbedingt notwendige Rollen zugewiesen werden. Die Überwachung auf ungewöhnliche Zugriffe auf Container-Metadaten oder Geheimnistresore kann dazu beitragen, das Risiko zu verringern.

DRINGLICHKEIT: Diese Schwachstelle sollte aufgrund ihrer kritischen Schwere und der hohen Sensibilität der gefährdeten Daten umgehend behoben werden. Selbst ohne aktive Ausnutzung stellt die Offenlegung von Geheimnissen in Cloud-Umgebungen ein Risiko mit hohen Auswirkungen dar, das bei Missbrauch schnell eskalieren kann.

CVE-2026-21522 – Microsoft ACI Confidential Containers Elevation of Privilege Vulnerability

„Eine Befehlsinjektionsschwachstelle in vertraulichen Containern kann vertrauenswürdige Workloads in einen Weg zur vollständigen Kontrolle verwandeln.“

CVE-2026-21522 ist eine kritische Sicherheitslücke zur Erhöhung von Berechtigungen, die vertrauliche Container von Microsoft Azure Container Instances (ACI) betrifft. Die Sicherheitslücke wird durch eine unsachgemäße Neutralisierung spezieller Elemente bei der Befehlsverarbeitung verursacht, wodurch ein autorisierter Angreifer mit hohen Berechtigungen lokal beliebige Befehle einfügen und ausführen kann. Eine erfolgreiche Ausnutzung ermöglicht es Angreifern, Berechtigungen innerhalb der Containerumgebung zu erhöhen und möglicherweise auf geschützte Geheimnisse und sensible Workloads zuzugreifen.

CVSS-Score: 6,7
SCHWERWIEGENDHEIT: Kritisch
BEDROHUNG: Erhöhung von Berechtigungen

EXPLOITS: Zum Zeitpunkt der Veröffentlichung wurden keine öffentlichen Exploits beobachtet. Es existiert jedoch ein Proof-of-Concept-Exploit-Code, der bestätigt, dass die Sicherheitslücke unter den richtigen Bedingungen praktisch ausgenutzt werden kann.

TECHNISCHE ZUSAMMENFASSUNG: Die Schwachstelle entsteht durch unzureichende Eingabereinigung in der Befehlsausführungslogik innerhalb der Azure Compute Gallery-Komponenten, die ACI Confidential Containers unterstützen. Sonderzeichen oder manipulierte Befehlseingaben werden nicht ordnungsgemäß neutralisiert, wodurch eine Befehlsinjektion möglich ist. Ein Angreifer mit autorisiertem Zugriff und hohen Berechtigungen kann diese Schwachstelle ausnutzen, um beliebige Befehle innerhalb des Laufzeitkontexts des Containers auszuführen. In vertraulichen Container-Bereitstellungen untergräbt dies die Isolationsgarantien und kann Geheimnisse oder vertrauenswürdige Ausführungsgrenzen offenlegen.

AUSNUTZBARKEIT: Dieses Problem betrifft Azure-Umgebungen, in denen ACI Confidential Containers ausgeführt werden. Die Ausnutzung erfolgt lokal, erfordert hohe Berechtigungen und keine Benutzerinteraktion. Nach der Ausnutzung können Angreifer Befehle mit denselben Berechtigungen wie der betroffene Container ausführen und so die Kontrolle innerhalb dieser Umgebung effektiv erweitern.

AUSWIRKUNGEN AUF DAS GESCHÄFT: Die Ausweitung von Berechtigungen innerhalb vertraulicher Container stellt ein ernstes Risiko für Unternehmen dar, die Azure für sensible oder regulierte Workloads nutzen.

Angreifer könnten auf geschützte Geheimnisse zugreifen, Workloads manipulieren, die Verfügbarkeit stören oder die mit vertraulichem Computing verbundenen Vertrauensannahmen gefährden. Dies könnte zu Datenoffenlegung, Betriebsstörungen und einem Verlust des Vertrauens in Cloud-Sicherheitskontrollen führen.

WORKAROUND: Wenn der Patch nicht sofort angewendet werden kann, sollten Unternehmen den administrativen Zugriff auf ACI-Umgebungen streng einschränken, die Rollenzuweisungen überprüfen und die Containeraktivität auf unerwartete Befehlsausführungen überwachen. Durch die Reduzierung der Anzahl von Benutzern mit erhöhten Berechtigungen kann das Risiko erheblich gesenkt werden.

DRINGLICHKEIT: Diese Schwachstelle erfordert aufgrund ihrer kritischen Schwere, der bestätigten Proof-of-Concept-Ausnutzbarkeit und ihrer Auswirkungen auf vertrauliche Computing-Umgebungen, in denen Vertrauen und Isolation von entscheidender Bedeutung sind, eine schnelle Behebung.

CVE-2026-21533 – Windows Remote Desktop Services – Schwachstelle zur Erhöhung von Berechtigungen

„Eine Schwachstelle in Remote Desktop verwandelt eingeschränkten Zugriff in vollständige SYSTEM-Kontrolle und gefährdet damit ganze Windows-Hosts.“

CVE-2026-21533 ist eine Schwachstelle mit hoher Schweregradstufe in Windows Remote Desktop Services, die eine Erhöhung von Berechtigungen ermöglicht. Aufgrund einer unsachgemäßen Berechtigungsverwaltung kann ein autorisierter lokaler Angreifer mit geringen Berechtigungen diese Schwachstelle ausnutzen, um seine Zugriffsrechte auf SYSTEM-Ebene zu erhöhen. Microsoft hat bestätigt, dass bereits Exploits entdeckt wurden, sodass diese Schwachstelle keine theoretische Gefahr, sondern eine reale und aktive Bedrohung darstellt.

CVSS-Score: 7,8
SCHWERWIEGENDHEIT: Wichtig
BEDROHUNG: Erhöhung der Berechtigungen

EXPLOITS: Es wurde eine Ausnutzung in freier Wildbahn festgestellt. Es existiert ein funktionsfähiger Exploit-Code, der zeigt, dass Angreifer diese Sicherheitslücke zuverlässig ausnutzen können, um SYSTEM-Berechtigungen auf betroffenen Windows-Systemen zu erlangen.

TECHNISCHE ZUSAMMENFASSUNG: Die Sicherheitslücke wird durch eine unsachgemäße Handhabung der Berechtigungsprüfungen innerhalb der Windows-Remotedesktopdienste verursacht. Wenn bestimmte lokale Vorgänge ausgeführt werden, kann der Dienst die Berechtigungsgrenzen nicht korrekt durchsetzen, sodass ein authentifizierter Benutzer mit geringen Berechtigungen Aktionen ausführen kann, die für höhere Berechtigungsstufen reserviert sind. Dies führt zu einer vollständigen Ausweitung der Berechtigungen auf SYSTEM, wodurch die vollständige Kontrolle über den betroffenen Host gewährt wird.

EXPLOITIERBARKEIT: Diese Sicherheitslücke betrifft unterstützte Windows-Systeme, auf denen Remotedesktopdienste ausgeführt werden. Die Ausnutzung erfolgt lokal, erfordert nur geringe Berechtigungen und keine Benutzerinteraktion. Ein Angreifer mit grundlegenden Zugriffsrechten kann die Schwachstelle ausnutzen, um Berechtigungen auf SYSTEM-Ebene zu erlangen.

AUSWIRKUNGEN AUF DAS GESCHÄFT: Eine erfolgreiche Ausnutzung ermöglicht es Angreifern, Windows-Systeme vollständig zu kompromittieren, persistente Malware zu installieren, Sicherheitstools zu deaktivieren, sensible Daten zu stehlen und tiefer in Unternehmensnetzwerke vorzudringen. Da Remote Desktop in Unternehmens- und Verwaltungsumgebungen häufig aktiviert ist, stellt diese Schwachstelle ein ernstes Risiko für domänengebundene Systeme und kritische Infrastrukturen dar.

WORKAROUND: Wenn eine sofortige Patch-Installation nicht möglich ist, sollten Unternehmen den lokalen Benutzerzugriff einschränken, die Remote-Desktop-Aktivitäten genau überwachen und das Prinzip der geringsten Privilegien anwenden. Durch die Reduzierung der Anzahl der Benutzer mit lokalem Zugriff kann das Risiko bis zur Installation der Updates verringert werden.

DRINGLICHKEIT: Diese Schwachstelle erfordert sofortige Aufmerksamkeit, da eine aktive Ausnutzung bestätigt wurde und ein funktionsfähiger Exploit-Code existiert. Nicht gepatchte Systeme bleiben anfällig für schnelle Privilegieneskalationsangriffe, die zu einer vollständigen Übernahme des Systems führen können.

CVE-2026-21525 – Denial-of-Service-Sicherheitslücke im Windows-Remotenzugriffs-Verbindungsmanager

„Ein einfacher lokaler Auslöser kann wichtige Windows-Netzwerkdienste ohne Vorwarnung offline schalten.“

CVE-2026-21525 ist eine Denial-of-Service-Sicherheitslücke mittlerer Schwere, die den Windows-Remotenzugriffs-Verbindungsmanager betrifft.

Die Schwachstelle wird durch eine Null-Zeiger-Dereferenzierung verursacht, die es einem nicht autorisierten lokalen Angreifer ermöglicht, den betroffenen Dienst zum Absturz zu bringen. Obwohl dabei keine Daten offengelegt werden und keine Codeausführung möglich ist, kann die Netzwerkkonnektivität und -verfügbarkeit auf den betroffenen Systemen gestört werden. Microsoft hat bestätigt, dass eine Ausnutzung festgestellt wurde.

CVSS-Score: 6,2
SCHWERE: Mittel
BEDROHUNG: Denial-of-Service

EXPLOITS: Es gibt keine öffentlich bekannt gegebenen Exploit-Tools oder Proof-of-Concept-Codes. Microsoft hat jedoch bestätigt, dass eine Ausnutzung festgestellt wurde, was darauf hindeutet, dass die Sicherheitslücke trotz fehlender öffentlicher Exploit-Details in realen Szenarien ausgenutzt wurde.

TECHNISCHE ZUSAMMENFASSUNG: Die Sicherheitslücke tritt auf, wenn der Windows-Remotezugriffsverbindungsmanager bestimmte Anfragen verarbeitet und eine Null-Zeiger-Referenz nicht ordnungsgemäß verarbeitet. Dies führt zu einer Ausnahme auf Systemebene, die dazu führt, dass der Dienst unerwartet beendet wird. Ein Angreifer benötigt keine Authentifizierung oder Benutzerinteraktion, um die Bedingung lokal auszulösen, was zu einem Denial-of-Service führt, der den Fernzugriff und die Netzwerkfunktionalität beeinträchtigt.

EXPLOITABILITY: Dieses Problem betrifft unterstützte Windows-Systeme, auf denen der Dienst „Remote Access Connection Manager” aktiviert ist. Die Ausnutzung erfolgt lokal, erfordert keine Berechtigungen und ist nicht auf Benutzerinteraktion angewiesen. Ein Angreifer mit grundlegendem lokalem Zugriff kann die Schwachstelle wiederholt auslösen, um eine anhaltende Dienstunterbrechung zu verursachen.

AUSWIRKUNGEN AUF DAS GESCHÄFT: Denial-of-Service-Bedingungen auf Windows-Systemen können die Remote-Konnektivität, den VPN-Zugriff und abhängige Dienste stören. In Unternehmensumgebungen kann dies zu Betriebsausfällen, Produktivitätsverlusten bei Remote-Mitarbeitern und potenziellen Dienstausfällen führen. Wiederholte Ausnutzung könnte als Ablenkung oder zur Beeinträchtigung der Systemzuverlässigkeit während umfassenderer Angriffsaktivitäten genutzt werden.

WORKAROUND: Wenn der Patch nicht sofort angewendet werden kann, sollten Unternehmen unnötigen lokalen Zugriff auf Systeme einschränken, Dienstabstürze im Zusammenhang mit Fernzugriffskomponenten überwachen und sicherstellen, dass schnelle Verfahren zur Wiederherstellung des Dienstes vorhanden sind, um Ausfallzeiten zu reduzieren.

CVE-2026-21519 – Desktop Window Manager Elevation of Privilege Vulnerability

„Eine Schwachstelle in der Windows-Grafikverarbeitung ermöglicht es Angreifern, grundlegenden Zugriff in vollständige SYSTEM-Kontrolle umzuwandeln.“

CVE-2026-21519 ist eine schwerwiegende Sicherheitslücke im Windows Desktop Window Manager (DWM), die eine Erhöhung der Berechtigungen ermöglicht. Das Problem wird durch einen Typkonfliktfehler verursacht, der es einem autorisierten lokalen Angreifer mit geringen Berechtigungen ermöglicht, eine unsachgemäße Ressourcenverwaltung auszunutzen und seine Zugriffsrechte auf SYSTEM-Ebene zu erhöhen. Microsoft hat bestätigt, dass diese Sicherheitslücke ausgenutzt wurde, sodass sie trotz der Einstufung als „kritisch“ ein hohes Risiko darstellt.

CVSS-Score: 7,8
SCHWERWIEGENDHEIT: Wichtig
BEDROHUNG: Erhöhung von Berechtigungen

EXPLOITS: Die Ausnutzung wurde in realen Angriffen festgestellt. Es wurde kein öffentlicher Proof-of-Concept-Code veröffentlicht, aber die bestätigte Ausnutzung deutet darauf hin, dass Angreifer über zuverlässige Methoden verfügen, um diese Schwachstelle zu missbrauchen.

TECHNISCHE ZUSAMMENFASSUNG: Die Sicherheitslücke entsteht durch Typverwechslungen innerhalb des Desktop Window Managers bei der Verarbeitung bestimmter grafischer Objekte und Speicherstrukturen. Aufgrund falscher Annahmen über Objekttypen kann der DWM mit inkompatiblen Datentypen auf Ressourcen zugreifen. Ein Angreifer kann Aktionen erstellen, die dieses Verhalten manipulieren, was zu einer Beschädigung des Speichers und zur Ausführung von Code mit erhöhten Rechten führt. Eine erfolgreiche Ausnutzung führt zu Zugriff auf SYSTEM-Ebene.

AUSNUTZBARKEIT: Dieses Problem betrifft unterstützte Windows-Versionen, bei denen der Desktop Window Manager aktiviert ist. Die Ausnutzung erfolgt lokal, erfordert geringe Berechtigungen und erfordert keine Benutzerinteraktion. Ein Angreifer mit grundlegendem Zugriff auf das System kann die Schwachstelle auslösen, um die vollständige Kontrolle über den betroffenen Host zu erlangen.

AUSWIRKUNGEN AUF DAS GESCHÄFT: Schwachstellen in Kernkomponenten von Windows, die eine Berechtigungserweiterung ermöglichen, sind besonders gefährlich, da sie eine vollständige Kompromittierung des Systems ermöglichen.

Angreifer können Sicherheitskontrollen deaktivieren, Persistenz herstellen, auf sensible Daten zugreifen und sich lateral in Unternehmensnetzwerken bewegen. Da DWM auf fast allen Windows-Desktops und -Servern mit GUI-Zugriff ausgeführt wird, ist die Angriffsfläche weit verbreitet.

WORKAROUND: Wenn Patches nicht sofort angewendet werden können, sollten Unternehmen den lokalen Zugriff auf Systeme einschränken, Richtlinien für Benutzer mit geringsten Berechtigungen durchsetzen und auf abnormales Verhalten im Zusammenhang mit dem Desktop Window Manager achten. Durch die Reduzierung der lokalen Benutzerrisiken wird die Wahrscheinlichkeit einer Ausnutzung verringert.

DRINGLICHKEIT: Diese Schwachstelle sollte aufgrund der bestätigten Ausnutzung und der Möglichkeit, Berechtigungen auf SYSTEM zu erweitern, schnell behoben werden. Nicht gepatchte Systeme bleiben nach dem ersten Zugriff für eine vollständige Übernahme anfällig.

CVE-2026-21514 – Sicherheitslücke in Microsoft Word

„Ein bösartiges Dokument kann die integrierten Abwehrmechanismen von Word unbemerkt umgehen und die Tür für eine vollständige Kompromittierung des Systems öffnen.“

CVE-2026-21514 ist eine Sicherheitslücke in Microsoft Word, die eine Umgehung von Sicherheitsfunktionen ermöglicht und als schwerwiegend eingestuft wird. Das Problem wird durch die Verwendung nicht vertrauenswürdiger Eingaben bei Sicherheitsentscheidungen verursacht, wodurch Angreifer OLE-Schutzmechanismen umgehen können. Indem sie einen Benutzer dazu verleiten, ein speziell gestaltetes Word-Dokument zu öffnen, können Angreifer Schutzmaßnahmen umgehen, die gefährliche COM- und OLE-Inhalte blockieren sollen. Microsoft hat bestätigt, dass diese Sicherheitslücke öffentlich bekannt gegeben wurde und aktiv ausgenutzt wird.

CVSS-Score: 7,8
SCHWERWIEGENDHEIT: Wichtig
BEDROHUNG: Umgehung von Sicherheitsfunktionen

EXPLOITS: Die Sicherheitslücke wurde öffentlich bekannt gegeben und wird aktiv ausgenutzt. Es gibt einen funktionsfähigen Exploit-Code, der eine zuverlässige Umgehung der OLE-Schutzmaßnahmen von Word durch manipulierte Dokumente demonstriert, die über Social Engineering verbreitet werden.

TECHNISCHE ZUSAMMENFASSUNG: Der Fehler tritt auf, wenn Microsoft Word sich bei Sicherheitsentscheidungen in Bezug auf eingebettete OLE- und COM-Objekte auf nicht vertrauenswürdige Eingaben stützt. Dieses unsachgemäße Vertrauensmodell ermöglicht es bösartigen Dokumentmetadaten oder Objektdaten, Ausführungspfade zu beeinflussen, die eigentlich eingeschränkt sein sollten. Infolgedessen behandelt Word unsichere eingebettete Inhalte möglicherweise fälschlicherweise als vertrauenswürdig und umgeht damit Sicherheitsmaßnahmen, die die Ausnutzung anfälliger Steuerelemente verhindern sollen. Nach der Umgehung können Angreifer Folgeaktionen auslösen, die die Vertraulichkeit, Integrität und Verfügbarkeit gefährden.

AUSNUTZBARKEIT: Diese Sicherheitslücke betrifft unterstützte Versionen von Microsoft Word, einschließlich Microsoft 365 Apps und Microsoft Office-Installationen, bei denen OLE-Schutzmaßnahmen durchgesetzt werden. Die Ausnutzung erfordert keine Berechtigungen, aber eine Benutzerinteraktion – das Opfer muss ein bösartiges Dokument öffnen. Der Vorschaubereich ist kein Angriffsvektor.

AUSWIRKUNGEN AUF DAS GESCHÄFT: Da Microsoft Word weit verbreitet ist und häufig angegriffen wird, stellt diese Sicherheitslücke ein erhebliches Risiko für Unternehmen dar. Eine erfolgreiche Ausnutzung kann zur Ausführung von Malware, zum Diebstahl von Anmeldedaten, zur Datenexfiltration und zu dauerhaftem Zugriff führen. Sicherheitslücken, die die Umgehung von Sicherheitsfunktionen ermöglichen, sind besonders gefährlich, da sie das Vertrauen der Benutzer in die integrierten Schutzmaßnahmen untergraben und die Erfolgsquote von Phishing-Kampagnen erhöhen.

WORKAROUND: Wenn Patches nicht sofort angewendet werden können, sollten Unternehmen die E-Mail-Filterung verstärken, nicht vertrauenswürdige Office-Anhänge blockieren und Richtlinien für den Umgang mit geschützten Dokumenten durchsetzen. Das Bewusstsein der Benutzer und eine geringere Exposition gegenüber externen Dokumenten können dazu beitragen, das Risiko vorübergehend zu senken.

DRINGLICHKEIT: Diese Schwachstelle erfordert eine sofortige Behebung, da eine aktive Ausnutzung bestätigt wurde, sie öffentlich bekannt ist und funktionierende Exploit-Techniken verfügbar sind. Eine verzögerte Patch-Installation erhöht das Risiko von Phishing-basierten Kompromittierungskampagnen erheblich.

CVE-2026-21513 – Sicherheitslücke beim Umgehen von Sicherheitsfunktionen im MSHTML-Framework

„Eine speziell gestaltete Datei kann Windows-Sicherheitsabfragen unbemerkt umgehen und mit einem einzigen Klick gefährliche Aktionen auslösen.“

CVE-2026-21513 ist eine Sicherheitslücke mit hoher Schweregradstufe im Microsoft MSHTML Framework, einer Kernkomponente, die von Windows und mehreren Anwendungen zum Rendern von HTML-Inhalten verwendet wird. Die Sicherheitslücke wird durch einen Fehler im Schutzmechanismus verursacht, der es Angreifern ermöglicht, Ausführungsaufforderungen zu umgehen, wenn Benutzer mit bösartigen Dateien interagieren. Microsoft hat bestätigt, dass dieses Problem öffentlich bekannt gegeben und aktiv ausgenutzt wurde.

CVSS-Score: 8,8
SCHWERWIEGENDHEIT: Wichtig
BEDROHUNG: Umgehung von Sicherheitsfunktionen

EXPLOITS: Diese Sicherheitslücke wurde öffentlich bekannt gegeben und ihre Ausnutzung wurde in realen Angriffen festgestellt. Obwohl kein eigenständiger Proof-of-Concept-Code veröffentlicht wurde, deutet die bestätigte Ausnutzung darauf hin, dass Angreifer diese Schwachstelle in aktiven Kampagnen erfolgreich ausnutzen.

TECHNISCHE ZUSAMMENFASSUNG: Die Sicherheitslücke entsteht durch einen Fehler in der Durchsetzung der Sicherheitsmaßnahmen von MSHTML bei der Verarbeitung speziell gestalteter HTML- oder Verknüpfungsdateien (.lnk). Durch Manipulation der Art und Weise, wie Windows Shell und MSHTML eingebettete Inhalte verarbeiten, können Angreifer die Ausführungswarnungen umgehen, die normalerweise Benutzer schützen. Wenn ein Benutzer die schädliche Datei öffnet oder mit ihr interagiert, verarbeitet und führt das Betriebssystem möglicherweise Inhalte ohne ordnungsgemäße Sicherheitsüberprüfung aus, wodurch die integrierten Schutzmaßnahmen unterlaufen werden.

AUSNUTZBARKEIT: Dieses Problem betrifft unterstützte Windows-Systeme, die auf dem MSHTML-Framework basieren. Die Ausnutzung erfolgt über das Netzwerk und erfordert eine Interaktion des Benutzers, z. B. das Öffnen einer bösartigen HTML-Datei oder das Klicken auf eine Verknüpfung, die per E-Mail, Link oder Download bereitgestellt wird. Der Angreifer benötigt keine Berechtigungen.

AUSWIRKUNGEN AUF DAS GESCHÄFT: Sicherheitslücken, die die Umgehung von Sicherheitsfunktionen ermöglichen, erhöhen die Erfolgsquote von Phishing- und Malware-Kampagnen erheblich. In Unternehmensumgebungen kann diese Schwachstelle zur unbefugten Ausführung von Code, zur Verbreitung von Malware, zum Diebstahl von Anmeldedaten und zur Kompromittierung des Systems führen. Da MSHTML tief in Windows integriert ist, kann die Ausnutzung eine Vielzahl von Systemen und Benutzern betreffen.

WORKAROUND: Wenn Patches nicht sofort angewendet werden können, sollten Unternehmen die Verarbeitung von HTML- und Verknüpfungsdateien aus nicht vertrauenswürdigen Quellen einschränken, die E-Mail- und Webfilterung verstärken und die Benutzer darauf hinweisen, unerwartete Anhänge oder Links nicht zu öffnen. Durch die Reduzierung der Exposition gegenüber externen Inhalten wird das Risiko einer Ausnutzung verringert.

DRINGLICHKEIT: Diese Schwachstelle erfordert eine schnelle Behebung, da eine aktive Ausnutzung bestätigt wurde und sie die zentralen Windows-Sicherheitsabfragen umgehen kann. Eine verzögerte Patch-Installation setzt Benutzer Phishing-Angriffen aus, die direkt zu einer Kompromittierung des Systems führen können.

CVE-2026-21510 – Sicherheitslücke in der Windows-Shell

„Ein einziger Klick auf einen bösartigen Link kann die Windows-Schutzmaßnahmen unbemerkt umgehen und vom Angreifer kontrollierte Inhalte ohne Warnung ausführen.“

CVE-2026-21510 ist eine Sicherheitslücke in Windows Shell, die eine Umgehung von Sicherheitsfunktionen ermöglicht und als schwerwiegend eingestuft wird. Das Problem wird durch einen Fehler im Schutzmechanismus verursacht, der es einem unbefugten Angreifer ermöglicht, Windows SmartScreen und Sicherheitsabfragen zu umgehen. Indem sie einen Benutzer dazu verleiten, einen bösartigen Link oder eine Verknüpfungsdatei zu öffnen, können Angreifer Inhalte ohne die üblichen Warnungen oder Zustimmungsdialoge ausführen. Microsoft hat bestätigt, dass diese Sicherheitslücke öffentlich bekannt gegeben wurde und aktiv ausgenutzt wird.

CVSS-Score: 8,8
SCHWERWIEGENDHEIT: Wichtig
BEDROHUNG: Umgehung von Sicherheitsfunktionen

EXPLOITS: Diese Sicherheitslücke wurde öffentlich bekannt gegeben und es wurde eine Ausnutzung in freier Wildbahn festgestellt. Es gibt funktionierende Exploit-Techniken, die eine zuverlässige Umgehung der Sicherheitsabfragen von Windows Shell und SmartScreen durch manipulierte Links oder Verknüpfungsdateien demonstrieren.

TECHNISCHE ZUSAMMENFASSUNG: Die Sicherheitslücke resultiert aus der unsachgemäßen Behandlung von durch Angreifer kontrollierten Inhalten innerhalb von Windows Shell-Komponenten. Bei der Verarbeitung speziell gestalteter Links oder Verknüpfungsdateien versagt Windows Shell bei der korrekten Durchsetzung von Sicherheitsmaßnahmen, die Benutzer vor der Ausführung potenziell gefährlicher Inhalte warnen sollen. Dieser Ausfall des Schutzmechanismus ermöglicht die Ausführung bösartiger Payloads, ohne dass SmartScreen oder Standard-Sicherheitsabfragen ausgelöst werden, wodurch die Vertrauens- und Ausführungsschutzmaßnahmen von Windows unterlaufen werden.

AUSNUTZBARKEIT: Dieses Problem betrifft unterstützte Windows-Systeme, die für die Datei- und Link-Verarbeitung auf Windows Shell angewiesen sind. Die Ausnutzung erfolgt über das Netzwerk und erfordert eine Benutzerinteraktion, insbesondere das Öffnen eines bösartigen Links oder einer bösartigen Verknüpfungsdatei. Der Angreifer benötigt keine Berechtigungen, was diese Sicherheitslücke für Phishing-basierte Angriffe sehr attraktiv macht.

AUSWIRKUNGEN AUF DAS GESCHÄFT: Die Umgehung der Schutzmaßnahmen von Windows Shell und SmartScreen erhöht die Erfolgsquote von Malware-Angriffen und Phishing-Kampagnen erheblich. Unternehmen können mit der Ausführung von nicht autorisiertem Code, Malware-Infektionen, Diebstahl von Anmeldedaten und lateralen Bewegungen innerhalb von Netzwerken konfrontiert werden. Da Windows Shell eine Kernkomponente ist, die von fast allen Benutzern verwendet wird, ist die Angriffsfläche groß und ohne Patches nur schwer vollständig einzuschränken.

WORKAROUND: Wenn der Patch nicht sofort angewendet werden kann, sollten Unternehmen ihre E-Mail- und Webfilterung verstärken, nicht vertrauenswürdige Verknüpfungsdateien blockieren und die Ausführung von Dateien aus nicht vertrauenswürdigen Quellen einschränken. Schulungen zur Sensibilisierung der Benutzer und restriktive Richtlinien für Anhänge können dazu beitragen, das Risiko zu verringern.

DRINGLICHKEIT: Diese Schwachstelle sollte aufgrund der bestätigten aktiven Ausnutzung und der Verfügbarkeit funktionierender Exploit-Methoden sofort behoben werden. Eine verzögerte Behebung setzt Systeme Phishing-Angriffen aus, die die zentralen Windows-Sicherheitsmaßnahmen umgehen.

Die Sicherheitsupdates vom Patch Tuesday im Februar 2026

Nachfolgend finden Sie eine vollständige Liste der behobenen Sicherheitslücken in den Updates vom Patch Tuesday im Februar 2026.

Eigentlich hatte ich gehofft, dass Microsoft aus den über 20 massiven Update-Problemen des turbulenten Jahres 2025 gelernt hätte. Doch kaum hat das Jahr 2026 begonnen, wiederholt sich das frustrierende Muster für Administratoren und Nutzer weltweit. Das erste obligatorische Update des Jahres, bekannt unter der Kennung KB5074109, sorgt bereits in den ersten Wochen für instabile Systeme und verzweifelte IT-Abteilungen.

Was von Microsoft offiziell als notwendiger Sicherheitsgewinn und Stabilitätsverbesserung verkauft wird, entpuppt sich in der täglichen Praxis zunehmend als massives Risiko für die Business-Kontinuität. Wenn der Schutz vor Hackern gleichzeitig die Funktionsfähigkeit der Hardware lahmlegt, stellt sich die existenzielle Frage: Ist das Patch-Management von Microsoft selbst zum Sicherheitsrisiko geworden? In diesem Artikel analysieren wir die aktuelle Krise und zeigen Wege auf, wie Sie Ihr Unternehmen schützen können.

1. Die aktuelle Lage im Januar 2026: Ein Protokoll des Scheiterns

Das Januar-Update 2026 sollte eigentlich einen sauberen Start in das neue Geschäftsjahr markieren. Stattdessen löste es eine Kette von Fehlfunktionen aus, die so gravierend sind, dass Microsoft in Rekordzeit mehrere „Out-of-Band“-Fixes (Notfall-Patches) nachschieben musste, um den kompletten Stillstand in kritischen Infrastrukturen zu verhindern.

Die kritischsten Fehler im Überblick:

• Der Shutdown-Loop (KB5073455): Ein besonders bizarrer Fehler betrifft Rechner mit aktiviertem System Guard Secure Launch. Diese lassen sich schlicht nicht mehr ordnungsgemäß herunterfahren. Statt auszuschalten, initiieren die Systeme einen sofortigen Neustart. Für Unternehmen, die auf Energieeffizienz und nächtliche Wartungsfenster angewiesen sind, ein logistischer Albtraum.
• Authentifizierungs-Fehler in der Cloud: Viele Nutzer berichteten, dass Verbindungen zu Azure Virtual Desktop und Windows 365 mit dem kryptischen Fehlercode 0x80080005 scheiterten. In einer Arbeitswelt, die zunehmend auf Cloud-Infrastrukturen setzt, bedeutet dies den sofortigen Arbeitsausfall für tausende Mitarbeiter.
• Outlook-Paralyse: Die Classic-Version von Outlook – nach wie vor der Standard in vielen Konzernen – zeigt sich unter dem neuen Patch instabil. Besonders bei der Nutzung von POP-Konten stürzt die Anwendung ab oder bleibt als „Geisterprozess“ im Task-Manager hängen, was einen manuellen Eingriff erfordert.
• Black Screens & UI-Glitches: Instabilitäten in der Kommunikation mit Grafiktreibern führen zu flackernden Bildschirmen und zurückgesetzten Desktop-Einstellungen. Was wie ein kosmetisches Problem wirkt, deutet auf tiefsitzende Inkompatibilitäten im Kernel-Bereich hin.

2. Die Basis des Problems: „Qualität als Sicherheitsrisiko“

Bereits im Mai 2025 habe ich hier im Blog dargelegt, dass sich das Verständnis von „Servicequalität“ (Quality of Service, QoS) bei Microsoft gefährlich verschoben hat. Wir beobachten eine Entwicklung, bei der die Quantität der Features über die Stabilität des Kernsystems gestellt wird.

Die zentrale These im Realitätscheck 2026

Wie ich bereits in meiner früheren Analyse postulierte: „Die mangelhafte Qualität der Dienstleistung im Bereich der Windows Updates entwickelt sich zunehmend zu einem eigenständigen Sicherheitsrisiko“ (im Mai 2025) Diese Prognose hat sich Anfang 2026 leider bewahrheitet. Das Problem ist psychologisch wie technisch: Wenn Administratoren aufgrund schlechter Erfahrungen dazu übergehen, Updates so lange wie möglich hinauszuzögern, bleiben kritische Sicherheitslücken unnötig lange offen.

Das unlösbare Dilemma für IT-Abteilungen:

1. Szenario Patch: Sie schließen kritische Zero-Day-Lücken, riskieren aber, dass die Fernwartung (RDP) zusammenbricht oder die Rechner der Mitarbeiter unbrauchbar werden.
2. Szenario Warten: Das System bleibt stabil und produktiv, ist aber ein offenes Scheunentor für Ransomware-Angriffe.

Microsoft zwingt professionelle Anwender damit in eine „Lose-Lose-Situation“. Die Zuverlässigkeit des Betriebssystems wird gegen die notwendige Sicherheit ausgespielt – ein Zustand, der für global agierende Unternehmen untragbar ist.

3. Ursachenforschung: Systemversagen statt Einzelfälle

Warum schafft es ein Billionen-Dollar-Konzern wie Microsoft nicht, stabile Updates auszuliefern? Die Wiederholung der Fehler aus 2025 im neuen Jahr deutet auf tief verwurzelte, systemische Defizite hin.

Unzureichendes Testing in realen Umgebungen

Dass Funktionen wie der „Shutdown“ bei Standard-Sicherheitsfeatures wie Secure Launch versagen, ist ein klares Indiz dafür, dass die internen Test-Szenarien von Microsoft die Realität in modernen Unternehmen nicht mehr abbilden. Es scheint, als fänden Tests vornehmlich in sterilen Laborumgebungen statt.

Der Komplexitäts-Overload von Windows 11

Die Verzahnung von Windows 11 mit unzähligen Cloud-Komponenten macht das Betriebssystem zu einem fragilen Konstrukt. Jede Änderung kann unvorhersehbare Welleneffekte in scheinbar unbeteiligten Modulen auslösen.

Der „Agile-Servicing“-Wahn

Der Druck, in einem rasanten Rhythmus neue KI-Features auszurollen, lässt keine Zeit für eine tiefe Qualitätssicherung. Die Nutzer im „Stable Channel“ werden de facto zu Beta-Testern degradiert.

4. Handlungsempfehlungen für IT-Administratoren

Was können Sie tun, um Ihr Unternehmen zu schützen? Da man sich auf die Erstauslieferungsqualität von Microsoft-Updates aktuell nicht verlassen kann, sind eigene Schutzwälle unerlässlich.

1. Staging ist Pflicht: Rollen Sie Updates niemals am ersten Tag auf die gesamte Flotte aus. Nutzen Sie Testgruppen für verschiedene Hardware-Konfigurationen.
2. KIR-Tools (Known Issue Rollback): Machen Sie sich mit den KIR-Mechanismen vertraut. Sie sind oft der einzige Weg, einen fehlerhaften Patch schnell rückgängig zu machen.
3. Diversifizierte Informationsquellen: Verlassen Sie sich nicht nur auf das offizielle Microsoft Dashboard. Nutzen Sie Fachportale wie Windows Latest oder verfolgen Sie meine regelmäßigen Updates hier im Blog als Frühwarnsysteme.
4. Backup-Strategie für Cloud-Endpunkte: Stellen Sie sicher, dass kritische Mitarbeiter alternative Zugangswege haben, falls Cloud-Authentifizierungen (AVD/Windows 365) scheitern.

Fazit: Ein notwendiger Kurswechsel steht aus

Das Jahr 2026 hat bereits in seinen ersten Wochen bewiesen: Die Qualität der Windows-Updates ist kein rein technisches Ärgernis mehr, sondern eine ernsthafte strategische Schwachstelle in der globalen IT-Infrastruktur. Die mangelnde Sorgfalt bei Microsoft gefährdet die Produktivität von Millionen Unternehmen.

Solange Microsoft die Stabilität nicht über den schnellen Feature-Release stellt, bleibt der Update-Prozess selbst eine Bedrohung für den Geschäftsbetrieb. Es ist an der Zeit, eine Rückbesinnung auf handwerkliche Qualität im Software-Engineering zu fordern.

Der Patchday ist der kritischste Tag im Monat für jede IT-Abteilung. Doch der Microsoft Patchday Oktober 2025 stellt eine besondere Herausforderung dar. Er markiert nicht nur das Ende des Supports für zentrale Produkte wie Windows 10 und Exchange Server 2016/2019, sondern bringt auch eine alarmierend hohe Anzahl an dringend zu schließenden Sicherheitslücken mit sich.

Dieser Artikel liefert Ihnen als IT-Verantwortlichen oder Sicherheitsspezialisten die vollständige, tiefgehende Analyse aller veröffentlichten Sicherheitsupdates. Wir schlüsseln die Bedrohungen auf, nennen die kritischsten Zero-Day-Schwachstellen und geben Ihnen eine klare Handlungsanweisung, um Ihre Infrastruktur schnellstmöglich zu härten.

Lesen Sie jetzt, welche kritische Sicherheitslücken Sie sofort priorisieren müssen und wie Sie die bevorstehenden End-of-Support-Meilensteine sicher managen.

Die Zahlen der Bedrohung: 6 Zero-Days und 172 Schwachstellen

Der Umfang der Korrekturen in diesem Monat unterstreicht die Notwendigkeit eines robusten Patch Management. Insgesamt adressiert Microsoft 172 Schwachstellen. Diese hohe Zahl ist besorgniserregend und erfordert eine präzise Priorisierung der Updates.

Die Anzahl der Fehler in jeder Schwachstellenkategorie ist unten aufgeführt:

80 Schwachstellen durch Erhöhung der Berechtigung (Elevation of Privilege)
11 Anfälligkeiten für die Umgehung von Sicherheitsfunktionen
31 Schwachstellen durch Remotecode-Ausführung
28 Schwachstellen in Bezug auf die Offenlegung von Informationen
11 Denial-of-Service-Schwachstellen
10 Spoofing-Schwachstellen

Aufschlüsselung der Schweregrade

Um den Überblick zu behalten, ist es entscheidend, die Lücken nach ihrem Schweregrad zu klassifizieren.

• Kritisch (Critical): Mehrere Schwachstellen wurden als Kritisch eingestuft. Dies bedeutet, dass sie ohne Benutzerinteraktion oder mit minimalen Berechtigungen zur vollständigen Kompromittierung des Systems führen können, oft durch Remote Code Execution (RCE).
• Wichtig (Important): Der Großteil der CVE-Nummern fällt in diese Kategorie. Diese Lücken können zu erhöhten Privilegien, Denial of Service (DoS) oder Informationslecks führen.
• Niedrig/Mittel: Diese sind ebenfalls zu beheben, stellen aber keine unmittelbare, akute Bedrohung dar.

Top-Priorität: Die 6 Zero-Day-Schwachstellen

Das größte Risiko geht von den Schwachstellen aus, die bereits aktiv von Angreifern ausgenutzt werden – den sogenannten Zero-Day-Schwachstellen. Der Oktober-Patchday beseitigt sechs solcher Lücken. Dies ist ein extrem hoher Wert und signalisiert eine erhöhte Angriffsaktivität, die sofortige Reaktion erfordert.

Was sind Zero-Days? Zero-Day-Lücken sind Fehler in der Software, die der Hersteller (Microsoft) gerade erst kennt oder für die noch kein Patch existiert, die aber bereits in freier Wildbahn für Angriffe genutzt werden. Die sofortige Installation der Sicherheitsupdates hat hier absolute Priorität.

CVE-2025-59230: Sicherheitslücke durch Rechteausweitung im Windows Remote Access Connection Manager

Die erste Zero-Day-Sicherheitslücke ist eine Schwachstelle im Windows Remote Access Connection Manager (RACMAN)-Dienst, der VPN- und Fernzugriffsverbindungen verwaltet. Durch unsachgemäße Zugriffskontrollen (CWE-284) kann ein authentifizierter Benutzer mit geringen Berechtigungen seine Rechte auf SYSTEM ausweiten.

Das Problem scheint darauf zurückzuführen zu sein, dass der RACMAN-Dienst Befehle von Benutzern mit geringeren Berechtigungen validiert und verarbeitet, ohne die Autorisierung vor der Ausführung privilegierter Vorgänge ordnungsgemäß zu überprüfen.

Wichtige Kennzahlen

• Angriffsvektor: Lokal (AV:L)
• Komplexität des Angriffs: Gering (AC:L)
• Erforderliche Berechtigungen: Gering (PR:L)
• Basisbewertung: 7,8 (Hoch)
• Zeitliche Bewertung: 7,2 (hoch)

Ausnutzungsstatus

• In freier Wildbahn: Ja, eine Ausnutzung wurde festgestellt.
• Proof of Concept: Es gibt einen funktionsfähigen Exploit, der jedoch möglicherweise nicht öffentlich verfügbar ist.

Betroffene Systeme

• Windows 10- und Windows 11-Workstations
• Windows Server 2016, 2019 und 2022

Warum dies gefährlich ist

1. SYSTEM-Berechtigungen gewähren die vollständige Kontrolle über das kompromittierte System.

2. Die Schwachstelle kann in Angriffsketten genutzt werden, um:

• Berechtigungen nach dem ersten Zugriff durch Phishing oder andere Eintrittsvektoren zu eskalieren
• Nach anderen Exploits Persistenz herzustellen
• Die Benutzerkontensteuerung (UAC) zu umgehen (UAC)
• Unterstützung komplexerer Angriffe auf Domänencontroller in Kombination mit lateraler Bewegung

3. Die geringe Komplexität der Ausnutzung macht sie für Angreifer mit mittleren Fähigkeiten zugänglich.

Risikofaktoren für Unternehmen Viele Unternehmen sind weiterhin gefährdet, da Remotezugriffsdienste weit verbreitet sind und Windows nach wie vor die Unternehmensumgebungen dominiert. Die aktive Ausnutzung erhöht die Dringlichkeit, schnell Patches zu installieren. In großen Umgebungen oder solchen mit langsameren Patch-Zyklen kann die Gefährdung auch nach der Veröffentlichung von Korrekturen bestehen bleiben.

Was diesen Zero-Day-Exploit für Angreifer besonders attraktiv macht, ist seine Zuverlässigkeit und das hochwertige Ergebnis – konsistenter Zugriff auf SYSTEM-Ebene ohne komplexe Voraussetzungen.

CVE-2025-24990: Windows Agere Modemtreiber – Sicherheitslücke durch Rechteausweitung

Ein weiterer Zero-Day-Exploit betrifft den Agere-Modemtreiber (ltmdm64.sys), der standardmäßig mit Windows-Betriebssystemen ausgeliefert wird. Die Schwachstelle ist eine nicht vertrauenswürdige Pointer-Dereferenzierung (CWE-822), die auftritt, wenn der Treiber die vom Benutzer bereitgestellten Zeiger nicht ordnungsgemäß validiert, bevor er sie im Kernel-Modus dereferenziert. Dieser Fehler ermöglicht es Angreifern, Speicherstrukturen mit Kernel-Rechten zu manipulieren.

Das Problem ist besonders besorgniserregend, da es in einem Legacy-Hardware-Support-Code vorhanden ist, der standardmäßig auf Windows-Systemen installiert ist, selbst wenn die zugehörige Hardware nicht vorhanden ist oder nicht verwendet wird.

Wichtige Kennzahlen

• Angriffsvektor: Lokal (AV:L)
• Komplexität des Angriffs: Gering (AC:L)
• Erforderliche Berechtigungen: Gering (PR:L)
• Basisbewertung: 7,8 (Hoch)
• Zeitliche Bewertung: 7,2 (Hoch)

Ausnutzungsstatus

• In freier Wildbahn: Ja, aktive Ausnutzung festgestellt
• Proof of Concept: Es existiert ein funktionierender Exploit
• Öffentliche Bekanntgabe: Keine vor dem Sicherheitsbulletin

Betroffene Systeme

• Alle unterstützten Windows-Desktop- und Server-Versionen
• Systeme mit oder ohne Agere-Modem-Hardware

Warum dies gefährlich ist

1. Da die Schwachstelle im Kernel-Modus auftritt, können Angreifer die höchsten Berechtigungen erlangen, was Folgendes ermöglicht:

• Vollständige Kompromittierung des Systems
• Zugriff auf geschützte Systemressourcen
• Deaktivierung von Sicherheitskontrollen
• Installation von persistenten Backdoors

2. In fortgeschrittenen Angriffsketten könnte sie genutzt werden, um:

• Anwendungs-Sandboxes zu umgehen
• Nach der ersten Kompromittierung Persistenz aufrechtzuerhalten
• Zusätzliche Malware mit Systemrechten zu installieren
• Sich lateral innerhalb von Unternehmensnetzwerken zu bewegen
• Sicherheits-Tools auf dem betroffenen System zu manipulieren

3. Das Risiko wird verstärkt, weil:

• Die Ausnutzung nicht von der tatsächlichen Hardware abhängt
• Microsoft sich dafür entschieden hat, den anfälligen Treiber vollständig zu entfernen, anstatt ihn zu patchen
• Die Ausnutzung wenig komplex ist

Auswirkungen auf Unternehmen Das potenzielle Risiko ist groß, da der anfällige Treiber standardmäßig in den meisten Windows-Installationen vorhanden ist. Unternehmen mit älteren Systemen, die auf Agere-Modemhardware angewiesen sind, stehen vor einer zusätzlichen Herausforderung, da die Hardware nach dem kumulativen Update im Oktober nicht mehr funktionieren wird.

Aktive Ausnutzung bestätigt, dass Angreifer diesen Zero-Day bereits nutzen. Die Entscheidung von Microsoft, den Treiber zu entfernen, anstatt ihn zu patchen, deutet darauf hin, dass der Fehler tief in seinem Design verwurzelt ist und nicht behoben werden kann, ohne die Funktionalität zu beeinträchtigen. Dies erhöht sowohl die Sicherheits- als auch die Betriebsrisiken für betroffene Umgebungen.

CVE-2025-24052: Windows Agere Modemtreiber – Sicherheitslücke durch Rechteausweitung

Dieser Zero-Day betrifft den Agere-Modemtreiber (ltmdm64.sys), der standardmäßig mit Windows ausgeliefert wird. Es handelt sich um einen stapelbasierten Pufferüberlauf (CWE-121), der durch eine unsachgemäße Validierung der Eingabepuffergrößen vor dem Kopieren von Daten in einen Stapelpuffer mit fester Größe verursacht wird. Die daraus resultierende Speicherbeschädigung kann zur Ausführung von Code auf Kernel-Ebene und zur Ausweitung von Berechtigungen führen.

Der Fehler befindet sich in einem veralteten Treibercode, der auch dann auf modernen Systemen installiert bleibt, wenn die entsprechende Hardware nicht vorhanden ist. Dadurch erhöht sich das Risiko für viele Geräte.

Wichtige Kennzahlen

• Angriffsvektor: Lokal (AV:L)
• Komplexität des Angriffs: Gering (AC:L)
• Erforderliche Berechtigungen: Gering (PR:L)
• Basisbewertung: 7,8 (Hoch)
• Zeitliche Bewertung: 7,0 (hoch)

Ausnutzungsstatus

• In freier Wildbahn: Keine bestätigte Ausnutzung festgestellt
• Proof of Concept: Es gibt einen PoC, der jedoch möglicherweise noch nicht vollständig einsatzbereit ist
• Öffentliche Bekanntgabe: Ja, die Schwachstelle wurde öffentlich bekannt gegeben

Betroffene Systeme

• Alle unterstützten Windows-Desktop-Versionen (Windows 10, Windows 11)
• Alle unterstützten Windows Server-Versionen
• Systeme mit oder ohne physische Agere-Modem-Hardware

Warum dies schwerwiegend ist

1. Als Kernel-Mode-Fehler kann eine erfolgreiche Ausnutzung die Ausführung von beliebigem Code auf der höchsten Privilegienebene ermöglichen, wodurch das gesamte System kompromittiert und dauerhaft beeinträchtigt werden kann.
2. In komplexen Angriffsketten kann dies für die Eskalation von Privilegien nach der Kompromittierung, das Entkommen aus der Sandbox, laterale Bewegungen und die Untergrabung von Sicherheitstools, die auf Kernel-Komponenten basieren, genutzt werden.
3. Der stapelbasierte Überlauf kann die Ausführung von Shellcode, die Beschädigung von Kernel-Datenstrukturen und die Kontrolle des Programmablaufs ermöglichen.

Auswirkungen auf den Betrieb Microsoft hat den Treiber entfernt, anstatt ihn zu patchen, wodurch die Schwachstelle beseitigt wird, aber Kompatibilitätsprobleme für Unternehmen entstehen, die weiterhin auf Agere-Modem-Hardware angewiesen sind. Die Einschätzung von Microsoft, dass eine Ausnutzung „sehr wahrscheinlich“ ist, sowie die öffentliche Bekanntgabe und ein verfügbarer PoC bedeuten, dass das Zeitfenster für die Ausnutzung der Schwachstelle immer kleiner wird, auch wenn bisher keine aktive Ausnutzung bestätigt wurde.

CVE-2025-0033: AMD RMP-Beschädigung während der SNP-Initialisierung

Eine weitere Zero-Day-Sicherheitslücke, die am Tag vor dem Patch Tuesday bekannt wurde, ist eine kritische Schwachstelle in AMD EPYC-Prozessoren, die die Secure Encrypted Virtualization – Secure Nested Paging (SEV-SNP)-Technologie implementieren. Der Fehler resultiert aus einer Race Condition während der Initialisierung der Reverse Map Table (RMP), einer wichtigen SEV-SNP-Struktur, die die Eigentumsverhältnisse und Berechtigungen von physischen Speicherseiten verfolgt.

Während des SNP-Initialisierungsprozesses gibt es ein Zeitfenster, in dem RMP-Einträge konfiguriert, aber noch nicht gesperrt sind. Ein privilegierter Angreifer könnte diese Lücke ausnutzen, um RMP-Einträge zu ändern, wodurch ein kompromittierter Hypervisor möglicherweise die Sicherheitsattribute von Speicherseiten ändern könnte, die vertraulichen virtuellen Maschinen (VMs) zugewiesen sind, wodurch die Sicherheitsgarantien von SEV-SNP untergraben würden.

Wichtige Kennzahlen

• Angriffsvektor: Lokal (AV:L)
• Komplexität des Angriffs: Gering (AC:L)
• Erforderliche Privilegien: Hoch (PR:H)
• Basisbewertung: 8,2 (Hoch)
• Zeitliche Bewertung: 7,1 (Hoch)

Ausnutzungsstatus

• In freier Wildbahn: Keine bekannte Ausnutzung
• Proof of Concept: Kein öffentlicher Exploit verfügbar (Reife des Exploit-Codes: Unbewiesen)
• Öffentliche Bekanntgabe: Ja, bekannt gegeben von AMD am 13. Oktober 2025

Betroffene Systeme

• AMD EPYC-Prozessoren mit SEV-SNP-Fähigkeit
• Virtualisierungsumgebungen, die AMD SEV-SNP für vertrauliche Datenverarbeitung verwenden
• Cloud-Plattformen, die AMD-basierte vertrauliche Datenverarbeitungsdienste anbieten
• Lokale Private Clouds, auf denen SEV-SNP-fähige Hardware ausgeführt wird

Warum dies wichtig ist

1. Die Schwachstelle untergräbt die zentralen Sicherheitsgrenzen der vertraulichen Datenverarbeitung, indem sie:

• die hardwaregestützte Isolation zwischen Hypervisor und Gast-VMs aufhebt
• die Änderung des geschützten VM-Speichers ermöglicht
• möglicherweise die Beglaubigungsmechanismen in SEV-SNP-Umgebungen beeinträchtigt

2. Bei fortgeschrittenen Angriffen könnte dies Folgendes ermöglichen:

• Umgehung der SEV-SNP-Verschlüsselung und Isolationsschutzmaßnahmen
• Manipulation von Speicherinhalten in vertraulichen VMs
• Einschleusen von bösartigem Code in geschützte Workloads
• Erleichterung von Seitenkanalangriffen

3. Dies könnte auch mit folgenden Faktoren kombiniert werden:

• Schwachstellen bei der Eskalation von Hypervisor-Rechten
• Andere Schwachstellen von AMD-Prozessoren
• Supply-Chain-Angriffe auf vertrauliche Computing-Infrastrukturen

Auswirkungen und Risiken Nur eine kleine Anzahl von Organisationen betreibt SEV-SNP-fähige Systeme, in der Regel große Cloud-Anbieter, Regierungsbehörden, Finanzinstitute und Gesundheitsorganisationen, die mit hochsensiblen Daten umgehen. Die Ausnutzung dieser Schwachstelle ist aufgrund der erforderlichen Zugriffsrechte auf Hypervisor-Ebene und der erforderlichen tiefgreifenden technischen Kenntnisse über SEV-SNP begrenzt.

Große Cloud-Anbieter wie Microsoft Azure mindern dieses Risiko durch strenge administrative Kontrollen, mehrschichtige Abwehrmaßnahmen und kontinuierliche Integritätsüberwachung. Die Schwachstelle ist zwar schwerwiegend, eine praktische Ausnutzung ist jedoch für die meisten Umgebungen unwahrscheinlich. Bei gezielten Angriffen auf hochwertige vertrauliche Computersysteme bleibt sie jedoch ein erhebliches Problem, das eine umgehende Installation von Patches erfordert, sobald Updates verfügbar sind.

CVE-2025-59287: Schwachstelle in Windows Server Update Service (WSUS) ermöglicht Remote-Code-Ausführung

Dies ist eine kritische Sicherheitslücke in Windows Server Update Services (WSUS), einem Kernbestandteil der Patch-Infrastruktur von Microsoft für Unternehmen. Es handelt sich um ein Problem der Deserialisierung nicht vertrauenswürdiger Daten (CWE-502), das es WSUS ermöglicht, von Angreifern kontrollierte Objekte ohne ausreichende Validierung zu deserialisieren, was zur Remote-Codeausführung im Kontext des WSUS-Dienstes führen kann.

Die Ursache scheint ein unsicherer älterer Serialisierungsmechanismus zu sein, der eingehende Netzwerkereignisse verarbeitet. WSUS validiert Objekttypen vor der Deserialisierung nicht, sodass ein Angreifer bösartige serialisierte Objekte bereitstellen kann, die bei der Deserialisierung Code ausführen. Der Dienst wird in der Regel mit SYSTEM-Rechten ausgeführt, sodass bei erfolgreicher Ausnutzung Code mit hohen Rechten ausgeführt werden kann.

Wichtige Kennzahlen

• Angriffsvektor: Netzwerk (AV:N)
• Komplexität des Angriffs: Gering (AC:L)
• Erforderliche Berechtigungen: Keine (PR:N)
• Basisbewertung: 9,8 (kritisch)
• Zeitliche Bewertung: 8,5 (hoch)

Ausnutzungsstatus

• In freier Wildbahn: Zum Zeitpunkt der Offenlegung sind keine Ausnutzungen bekannt.
• Proof of Concept: Kein öffentlicher Exploit verfügbar (Reife des Exploit-Codes: unbewiesen)
• Öffentliche Bekanntgabe: Keine öffentliche Bekanntgabe vor Veröffentlichung des Patches

Betroffene Systeme

• Windows-Server, auf denen WSUS ausgeführt wird
• Systeme, die in Unternehmensumgebungen als WSUS-Server konfiguriert sind
• Alle unterstützten Windows Server-Versionen, auf denen die WSUS-Rolle installiert ist
• Sowohl dedizierte WSUS-Server als auch Mehrzweckserver, auf denen WSUS ausgeführt wird

Warum dies gefährlich ist

1. WSUS wird normalerweise mit SYSTEM-Rechten ausgeführt, sodass der Angreifer durch die Ausnutzung die höchsten lokalen Rechte erhält.
2. WSUS-Server verfügen in der Regel über Netzwerkverbindungen zu vielen Endpunkten und können bei falscher Konfiguration über das Internet zugänglich sein.
3. Eine erfolgreiche Ausnutzung könnte es einem Angreifer ermöglichen, bösartige Updates auf verwalteten Systemen zu installieren, was zu einer weitreichenden Kompromittierung und dauerhaften Hintertüren führen könnte.
4. Als Teil einer Angriffskette könnte dies mit anderen Schwachstellen in der Infrastruktur oder Supply-Chain-Techniken kombiniert werden, um die Auswirkungen zu verstärken.

Auswirkungen auf Unternehmen

• Viele mittlere bis große Unternehmen verlassen sich bei der Patch-Verwaltung auf WSUS; einigen Schätzungen zufolge liegt die Nutzungsrate in diesen Segmenten bei 70 bis 80 Prozent.
• Unternehmen mit mehreren WSUS-Servern oder segmentierten Netzwerken sind einem erhöhten Risiko ausgesetzt.
• Kritische Infrastrukturen, Behörden, Finanzinstitute und Einrichtungen des Gesundheitswesens verwenden häufig WSUS, was das Potenzial für schwerwiegende Folgen erhöht.
• Die Wiederherstellung nach einer Kompromittierung der Update-Infrastruktur kann die Wiederherstellung des Vertrauens in der gesamten Umgebung und die Wiederherstellung der Update-Pipeline erfordern.

Die Einschätzung von Microsoft, dass eine Ausnutzung „sehr wahrscheinlich“ ist, sowie der ferngesteuerte, nicht authentifizierte Angriffsvektor und die geringe Komplexität machen dies zu einem Problem mit hoher Priorität für betroffene Unternehmen.

Das Ende einer Ära: Windows 10 Support-Ende

Der Microsoft Patchday Oktober 2025 ist für Millionen von Unternehmen und Privatnutzern ein historischer Meilenstein. Ab diesem Zeitpunkt erhält Windows 10 keine kostenlosen, regulären Sicherheitsupdates mehr.

Der allerletzte Patchday für die meisten Nutzer

Mit dem Oktober-Update wird der offizielle Support für Windows 10 für alle nicht berechtigten oder nicht zahlenden Kunden eingestellt. Das bedeutet:

1. Keine neuen Sicherheitskorrekturen: Alle nach diesem Datum entdeckten Schwachstellen, einschließlich neuer Zero-Days, werden nicht mehr kostenlos von Microsoft behoben.
2. Erhöhtes Risiko: Geräte, die mit dem Internet verbunden sind und Windows 10 ohne Extended Security Updates (ESU) nutzen, werden schnell zu einfachen Zielen für Cyberkriminelle.
3. Compliance-Probleme: Viele regulatorische Standards (wie DSGVO oder HIPAA) erfordern den Betrieb unterstützter Software, was mit dem Windows 10 Support-Ende nicht mehr gegeben ist.

Migration: Optionen und Risiken

Wenn Sie noch Windows 10 in Ihrer Umgebung nutzen, haben Sie nun drei Optionen:

• Option 1: Migration zu Windows 11: Dies ist der empfohlene Pfad. Nutzen Sie diesen Patchday als letzten Anstoß für die Planung und den Rollout von Windows 11.
• Option 2: Extended Security Updates (ESU): Für Organisationen, die nicht rechtzeitig migrieren können, bietet Microsoft kostenpflichtige ESU-Lizenzen an. Diese stellen Sicherheitsupdates für einen begrenzten Zeitraum bereit, sind aber keine langfristige Lösung.
• Option 3: Risiko akzeptieren (nicht empfohlen): Das Gerät wird im Grunde zu einer „Zeitbombe“ in Ihrem Netzwerk. Dies sollte unter allen Umständen vermieden werden.

Abschied von Exchange: End of Support für 2016 und 2019

Parallel zum Windows 10 Support-Ende erreichen auch Microsoft Exchange Server 2016 und 2019 das Ende ihres Mainstream-Supports. Während es für Exchange 2016 und 2019 Übergangsfristen für den Extended Support geben mag, ist die Botschaft klar: Die Migration auf eine aktuellere Version oder in die Cloud (Exchange Online) muss beschleunigt werden.

Welche Risiken bestehen jetzt?

Exchange Server sind historisch gesehen die kritischsten, oft angegriffenen On-Premise-Komponenten in Unternehmensnetzwerken.

• Angriffsziel Nummer 1: Ungesicherte Exchange Server sind die primären Angriffsvektoren für Ransomware und Datenexfiltration.
• Keine neuen Features/Fixes: Nach dem EoS wird es schwieriger, nicht sicherheitsrelevante Probleme zu beheben, und die Plattform veraltet in Bezug auf moderne Sicherheitsstandards.

Die notwendigen Migrationspfade

Für alle, die noch Exchange Server End of Support-Versionen betreiben, ist die einzige sichere Strategie die Migration:

1. Empfohlen: Wechsel zu Exchange Online (Microsoft 365): Dies bietet die höchste Sicherheit und Verfügbarkeit, da Microsoft das Patch Management übernimmt.
2. On-Premise Upgrade auf Exchange 2023/2024: Halten Sie Ihre Infrastruktur auf dem neuesten Stand. Achten Sie auf die neuesten Systemanforderungen und Architekturänderungen.

Die Oktober 2025 Patch Tuesday Sicherheitsupdates

Nachfolgend finden Sie die vollständige Liste der behobenen Sicherheitslücken in den Patch Tuesday-Updates vom Oktober 2025.

Quelle: microsoft.com

Microsofts Patchday im Februar 2025, der Sicherheitsupdates für 55 Schwachstellen enthält, darunter 4 Zero-Day-Schwachstellen, von denen 2 bei Angriffen aktiv ausgenutzt werden

Dieser Patch Tuesday behebt außerdem drei „kritische“ Sicherheitslücken, allesamt Sicherheitslücken bei der Ausführung von Remote-Code.

Die Anzahl der Fehler in jeder Sicherheitslücken-Kategorie ist unten aufgeführt:

• 19 Sicherheitslücken bei der Erhöhung von Berechtigungen
• 2 Sicherheitslücken bei der Umgehung von Sicherheitsfunktionen
• 22 Sicherheitslücken bei der Ausführung von Remote-Code
• 1 Sicherheitslücken bei der Offenlegung von Informationen
• 9 Sicherheitslücken bei der Dienstverweigerung
• 3 Sicherheitslücken bei der Täuschung

In den oben genannten Zahlen sind ein kritischer Fehler bei Microsoft Dynamics 365 Sales, der eine Erhöhung der Berechtigungen ermöglicht, und 10 Microsoft Edge-Schwachstellen, die am 6. Februar behoben wurden, nicht enthalten.

Zwei aktiv ausgenutzte Zero-Day-Schwachstellen bekannt gemacht

Der diesmonatige Patch Tuesday behebt zwei aktiv ausgenutzte und zwei öffentlich bekannt gemachte Zero-Day-Schwachstellen.

Microsoft stuft eine Zero-Day-Schwachstelle als eine solche ein, die öffentlich bekannt gemacht oder aktiv ausgenutzt wird, während keine offizielle Lösung verfügbar ist.

Die aktiv ausgenutzten Zero-Day-Schwachstellen in den heutigen Updates sind:

CVE-2025-21391 – Windows Storage-Schwachstelle zur Erhöhung von Berechtigungen

Microsoft hat eine aktiv ausgenutzte Schwachstelle zur Erhöhung von Berechtigungen behoben, die zum Löschen von Dateien genutzt werden kann.

„Ein Angreifer kann nur gezielt Dateien auf einem System löschen„, heißt es in der Microsoft-Meldung.

“Diese Sicherheitsanfälligkeit ermöglicht keine Offenlegung vertraulicher Informationen, könnte es einem Angreifer jedoch ermöglichen, Daten zu löschen, die dazu führen könnten, dass der Dienst nicht mehr verfügbar ist“, so Microsoft weiter.

Es wurden keine Informationen darüber veröffentlicht, wie dieser Fehler bei Angriffen ausgenutzt wurde und wer ihn offengelegt hat.

CVE-2025-21418 – Windows Ancillary Function Driver for WinSock Elevation of Privilege Vulnerability

Die zweite aktiv ausgenutzte Schwachstelle ermöglicht es Bedrohungsakteuren, SYSTEM-Privilegien in Windows zu erlangen.

Es ist nicht bekannt, wie sie bei Angriffen ausgenutzt wurde, und Microsoft gibt an, dass diese Schwachstelle anonym gemeldet wurde.

Die öffentlich gemeldeten Zero-Days sind:

CVE-2025-21194 – Microsoft Surface-Schwachstelle zur Umgehung der Sicherheitsfunktion

Laut Microsoft handelt es sich bei diesem Fehler um eine Hypervisor-Schwachstelle, die es Angreifern ermöglicht, UEFI zu umgehen und den sicheren Kernel zu kompromittieren.

„Diese Hypervisor-Schwachstelle betrifft virtuelle Maschinen innerhalb eines Unified Extensible Firmware Interface (UEFI)-Host-Computers“, heißt es in der Microsoft-Meldung.

„Bei bestimmter Hardware ist es möglicherweise möglich, UEFI zu umgehen, was zur Kompromittierung des Hypervisors und des sicheren Kernels führen könnte.“

Laut Microsoft haben Francisco Falcón und Iván Arce von Quarkslab die Schwachstelle entdeckt.

Microsoft hat zwar nicht viele Details über den Fehler bekannt gegeben, doch es ist wahrscheinlich, dass er mit den PixieFail-Fehlern zusammenhängt, die von den Forschern im vergangenen Monat aufgedeckt wurden.

PixieFail ist eine Gruppe von neun Schwachstellen, die sich auf den IPv6-Netzwerkprotokollstapel von Tianocores EDK II auswirken, der von Microsoft Surface und den Hypervisor-Produkten des Unternehmens verwendet wird.

CVE-2025-21377 – NTLM Hash Disclosure Spoofing Vulnerability

Microsoft hat einen öffentlich gemachten Fehler behoben, der die NTLM-Hashes eines Windows-Benutzers offenlegt und es einem Angreifer von außen ermöglicht, sich möglicherweise als der Benutzer anzumelden.

„Diese Sicherheitsanfälligkeit kann bereits durch minimale Interaktion eines Benutzers mit einer schädlichen Datei ausgelöst werden, z. B. durch Auswahl (einfacher Klick), Überprüfung (Rechtsklick) oder Ausführen einer anderen Aktion als Öffnen oder Ausführen der Datei“, heißt es in der Microsoft-Meldung.

Microsoft hat zwar nicht viele Details über den Fehler bekannt gegeben, aber wahrscheinlich verhält er sich wie andere NTLM-Hash-Offenlegungsfehler, bei denen Windows durch einfache Interaktion mit einer Datei, anstatt sie zu öffnen, eine Remote-Verbindung zu einer Remote-Freigabe herstellen kann. Dabei wird der NTLM-Hash des Benutzers im Rahmen einer NTLM-Aushandlung an den Remote-Server weitergeleitet, den der Angreifer abfangen kann.

Diese NTLM-Hashes können dann geknackt werden, um das Klartext-Passwort zu erhalten, oder in Pass-the-Hash-Angriffen verwendet werden.

Laut Microsoft wurde dieser Fehler von Owen Cheung, Ivan Sheung und Vincent Yau von Cathay Pacific, Yorick Koster von Securify B.V. und Blaz Satler von 0patch by ACROS Security entdeckt.

Die Sicherheitsupdates vom Patchday im Februar 2025

Nachfolgend finden Sie die vollständige Liste der behobenen Schwachstellen in den Updates vom Patchday im Februar 2025.

Quelle: microsoft.com

Microsoft Januar 2025 Patch Tuesday behebt 4 Zero-Days und 91 Schwachstellen

Die Ausgabe des Microsoft Patch Tuesday vom Januar 2025 behebt 159 Schwachstellen, darunter 10 kritische und 149 wichtige Schwachstellen mit hohem Schweregrad. In den Updates dieses Monats hat Microsoft acht Zero-Day-Schwachstellen behoben, von denen drei bei Angriffen aktiv ausgenutzt wurden.

Microsoft hat in den Updates dieses Monats keine Schwachstelle in Microsoft Edge (Chromium-basiert) behoben.

Der Microsoft Patch Tuesday, Januar-Ausgabe, enthält Updates für Schwachstellen in .NET, .NET und Visual Studio, Microsoft Windows Search Component, Windows Installer, Windows Kerberos, Windows Kernel Memory, Windows Remote Desktop Services, Windows Secure Boot und mehr.

Microsoft hat mehrere Fehler in verschiedenen Softwareprogrammen behoben, darunter Spoofing, Denial of Service (DoS), Elevation of Privilege (EoP), Information Disclosure und Remote Code Execution (RCE).

Die Microsoft-Schwachstellen vom Januar 2025 werden wie folgt klassifiziert:

Zero-Day-Schwachstellen im Januar in der Patch-Dienstag-Ausgabe behoben

Windows Hyper-V NT Kernel Integration VSP Sicherheitslücke durch Erhöhung von Berechtigungen

CVE-2025-21333, CVE-2025-21334, & CVE-2025-21335

Windows Hyper-V NT Kernel Integration VSP bezieht sich auf die Virtualization Service Provider-Komponente innerhalb der Hyper-V-Virtualisierungsplattform unter Windows. Das Tool fungiert als Brücke zwischen dem Hyper-V-Hypervisor und dem Windows NT-Kernel und ermöglicht eine nahtlose Kommunikation und Verwaltung von virtuellen Maschinen, die auf dem Hostsystem ausgeführt werden.

Die erfolgreiche Ausnutzung der Sicherheitsanfälligkeit könnte es einem Angreifer ermöglichen, SYTEM-Berechtigungen zu erlangen.

Microsoft Access-Schwachstelle für die Ausführung von Remote-Code

CVE-2025-21366, CVE-2025-21395, & CVE-2025-21186

Microsoft Access ist ein Datenbankmanagementsystem (DBMS), das Benutzern beim Speichern, Organisieren und Analysieren von Daten hilft. Microsoft Access speichert Daten in seinem Format oder kann Daten aus anderen Anwendungen importieren oder mit diesen verknüpfen.

Microsoft hat die Schwachstellen behoben, indem der Zugriff auf die folgenden Erweiterungen blockiert wurde:

• accdb
• accde
• accdw
• accdt
• accda
• accdr
• accdu

Windows App Package Installer Elevation of Privilege Vulnerability

CVE-2025-21275

Ein Windows App Package Installer, oft auch App Installer genannt, ist eine integrierte Komponente des Windows-Betriebssystems, die es Benutzern ermöglicht, Anwendungen einfach zu installieren.

Ein Angreifer könnte nach erfolgreicher Ausnutzung der Schwachstelle SYSTEM-Privilegien erlangen.

Windows Themes Spoofing Vulnerability

CVE-2025-21308

Windows-Designs sind eine Kombination aus Farben, Tönen und Bildern, mit denen Sie Ihren Windows-PC personalisieren können.

Um die Sicherheitslücke erfolgreich auszunutzen, muss ein Angreifer den Benutzer davon überzeugen, eine schädliche Datei auf ein anfälliges System zu laden.

Kritische Sicherheitslücken, die im Januar-Patch-Dienstag-Update behoben wurden

Microsoft Digest Authentication Remote Code Execution Vulnerability

CVE-2025-21294

Microsoft Digest Authentication ist ein Sicherheitsmechanismus, der ein Challenge-Response-Protokoll verwendet, um die Anmeldedaten von Benutzern zu überprüfen, ohne das tatsächliche Passwort im Klartext über das Netzwerk zu senden.

Ein Angreifer muss eine Race-Condition gewinnen, um die Schwachstelle auszunutzen. Ein Angreifer könnte diese Schwachstelle ausnutzen, indem er sich mit einem System verbindet, das eine Digest-Authentifizierung erfordert. Dadurch wird die Race-Condition ausgelöst, die ein Use-after-free-Szenario erzeugt, was zur Ausführung von beliebigem Code führt.

SPNEGO Extended Negotiation (NEGOEX) Sicherheitsmechanismus-Schwachstelle für die Ausführung von Remote-Code

CVE-2025-21295

SPNEGO Extended Negotiation (NEGOEX) ist ein Sicherheitsmechanismus, der die Funktionen des Simple and Protected GSSAPI Negotiation Mechanism (SPNEGO) erweitert. Der Mechanismus ermöglicht es Clients und Servern, ein Standard-Authentifizierungsprotokoll auf der Grundlage zusätzlicher Metadaten wie Vertrauenskonfigurationen auszuhandeln.

Ein Angreifer muss Systemvorgänge auf eine bestimmte Weise manipulieren, um die Schwachstelle auszunutzen. Bei erfolgreicher Ausnutzung könnte ein Angreifer ohne Benutzerinteraktion eine Remotecodeausführung erreichen.

BranchCache-Schwachstelle für Remotecodeausführung

CVE-2025-21296

BranchCache ist eine Windows-Funktion, die die Bandbreite von WANs (Wide Area Network) optimiert, indem Inhalte auf lokalen Computern in Zweigstellen zwischengespeichert werden.

Ein Angreifer muss eine Race-Condition gewinnen, um die Schwachstelle auszunutzen.

Windows Remote Desktop Services Remote Code Execution Vulnerability

CVE-2025-21297 & CVE-2025-21309

Windows Remote Desktop Services (RDS) ist eine Microsoft-Funktion, die es Benutzern ermöglicht, über eine Netzwerkverbindung auf den Desktop und die Anwendungen eines Remote-Computers zuzugreifen und diese zu steuern.

Ein Angreifer muss eine Race-Condition auslösen, um die Schwachstellen auszunutzen. Ein Angreifer könnte diese Schwachstellen ausnutzen, indem er sich mit einem System mit der Rolle „Remote Desktop Gateway“ verbindet. Dann würde er die Race-Condition auslösen, um ein „Use-after-free“-Szenario zu erzeugen, was letztlich zur Ausführung von beliebigem Code führt.

Windows OLE-Remote-Code-Ausführungsschwachstelle

CVE-2025-21298

Object Linking and Embedding (OLE) ist ein Microsoft Windows-Standard, der es Benutzern ermöglicht, Dokumente zu erstellen und zu bearbeiten, die Objekte aus mehreren Anwendungen enthalten.

Ein Angreifer kann die Schwachstelle in einem E-Mail-Angriffsszenario ausnutzen, indem er eine speziell gestaltete E-Mail an das Opfer sendet. Das Opfer muss eine speziell gestaltete E-Mail mit einer betroffenen Microsoft Outlook-Softwareversion öffnen, damit die Schwachstelle erfolgreich ausgenutzt werden kann. Nach erfolgreicher Ausnutzung kann ein Angreifer die Ausführung von Remote-Code auf dem Computer des Opfers erreichen.

Windows Reliable Multicast Transport Driver (RMCAST) Remote Code Execution Vulnerability

CVE-2025-21307

Der Windows Reliable Multicast Transport Driver (RMCAST) ist eine Komponente des Windows-Betriebssystems, die eine zuverlässige Multicast-Datenübertragung ermöglicht.

Ein nicht authentifizierter Angreifer könnte die Schwachstelle ausnutzen, indem er speziell gestaltete Pakete an einen offenen Socket für Windows Pragmatic General Multicast (PGM) auf dem Server sendet, ohne dass der Benutzer eingreifen muss.

Windows NTLM V1-Schwachstelle zur Erhöhung von Berechtigungen

CVE-2025-21311

Windows NTLM V1 (NT LAN Manager Version 1) ist ein Authentifizierungsprotokoll von Microsoft, das für Netzwerkanmeldungen auf Windows-Systemen verwendet wird.

Eine erfolgreiche Ausnutzung der Schwachstelle könnte es einem Angreifer ermöglichen, seine Berechtigungen zu erweitern.

Microsoft Excel-Schwachstelle für die Ausführung von Remote-Code

CVE-2025-21354 & CVE-2025-21362:

Microsoft Excel ist ein Tabellenkalkulationsprogramm, das Benutzern bei der Organisation und Analyse von Daten hilft. Es ist für Windows, macOS, Android, iOS und iPadOS verfügbar.

Die erfolgreiche Ausnutzung der Schwachstelle könnte es einem Angreifer ermöglichen, die Ausführung von Remote-Code auf anfälligen Zielen zu erreichen.

Weitere Microsoft-Schwachstellen

• CVE-2025-21210 ist eine Schwachstelle in Bezug auf die Offenlegung von Informationen in Windows BitLocker. Die erfolgreiche Ausnutzung der Schwachstelle könnte es einem Angreifer ermöglichen, unverschlüsselte Ruhezustandsabbilder im Klartext offenzulegen.
• CVE-2025-21268, CVE-2025-21219, CVE-2025-21189, CVE-2025-21328 und CVE-2025-21329 sind Sicherheitslücken, die die Umgehung von Sicherheitsfunktionen in MapUrlToZone ermöglichen. Bei erfolgreicher Ausnutzung könnte ein Angreifer die MapURLToZone-Methode umgehen, um einige sensible Informationen einzusehen.
• CVE-2025-21269 ist eine Schwachstelle zur Umgehung von Sicherheitsfunktionen in Windows HTML-Plattformen. Bei erfolgreicher Ausnutzung der Schwachstelle könnte ein Angreifer einige sensible Informationen einsehen.
• CVE-2025-21292 ist eine Schwachstelle in Bezug auf die Erhöhung von Berechtigungen im Windows Search Service. Eine erfolgreiche Ausnutzung der Schwachstelle könnte es einem Angreifer ermöglichen, SYSTEM-Berechtigungen zu erlangen.
• CVE-2025-21299 ist eine Schwachstelle in Bezug auf die Umgehung von Sicherheitsfunktionen in Windows Kerberos. Eine erfolgreiche Ausnutzung der Schwachstelle könnte es einem Angreifer ermöglichen, die Windows Defender Credential Guard-Funktion zu umgehen, um Kerberos-Anmeldeinformationen preiszugeben.
• CVE-2025-21314 ist eine Spoofing-Schwachstelle in Windows SmartScreen. Um die Schwachstelle erfolgreich auszunutzen, muss ein Angreifer dem Opfer eine schädliche Datei senden, die das Opfer ausführen müsste.
• CVE-2025-21315 ist eine Schwachstelle in Bezug auf die Erhöhung von Berechtigungen im Microsoft Brokering File System. Bei erfolgreicher Ausnutzung könnte ein Angreifer möglicherweise die Fähigkeit erlangen, das System zum Absturz zu bringen, indem er die Use-after-free-Schwachstelle ausnutzt.
• CVE-2025-21364 ist eine Schwachstelle in Microsoft Excel, die die Umgehung von Sicherheitsfunktionen ermöglicht. Die erfolgreiche Ausnutzung der Schwachstelle kann es einem Angreifer ermöglichen, Office-Makro-Richtlinien zu umgehen, die dazu dienen, nicht vertrauenswürdige oder schädliche Dateien zu blockieren.
• CVE-2025-21365 ist eine Schwachstelle in Microsoft Office, die die Ausführung von Remote-Code ermöglicht. Die erfolgreiche Ausnutzung der Schwachstelle kann es einem Angreifer ermöglichen, die Ausführung von Remote-Code zu erreichen.

Die Sicherheitsupdates vom Patchday im Januar 2025

Nachfolgend finden Sie die vollständige Liste der behobenen Schwachstellen in den Updates vom Patchday im Januar 2025.