Microsoft hat Sicherheitsupdates veröffentlicht, die eine Rekordzahl von 1.413 Sicherheitslücken in seinem gesamten Produktportfolio beheben. Die Veröffentlichung umfasst eine aktiv ausgenutzte Sicherheitslücke, mehrere öffentlich bekannt gewordene Sicherheitslücken sowie über 70 als „kritisch“ eingestufte Schwachstellen. Insbesondere ermöglicht eine aktiv ausgenutzte Sicherheitslücke in der Windows-Shell Angreifern, die „Mark of the Web“ (MOTW)-Schutzmaßnahmen zu umgehen, wodurch potenziell die Ausführung von schädlichen Inhalten ermöglicht wird, die über Phishing-E-Mails und bösartige Links übermittelt werden.

Angesichts der Vielzahl der Sicherheitslücken und der Tatsache, dass diese aktiv ausgenutzt werden, sollten Unternehmen der Bereitstellung von Patches Priorität einräumen, insbesondere für Systeme mit Internetanbindung, privilegierte Arbeitsplätze und kritische Infrastruktureinrichtungen.

Wichtige Kennzahlen

Von Microsoft behoben:

• insgesamt 1.413 Sicherheitslücken
• 1.102 Windows-Sicherheitslücken
• 134 Microsoft Office-Sicherheitslücken
• 61 Sicherheitslücken in Entwicklertools
• 36 Sicherheitslücken in SharePoint Server
• 22 SQL Server-Sicherheitslücken
• Mehr als 670 Sicherheitslücken mit Rechtenausweitung
• Mehr als 300 Sicherheitslücken, die die Ausführung von Code aus der Ferne (RCE) ermöglichen
• Mehr als 250 Sicherheitslücken durch Informationsoffenlegung
• Über 70 als „kritisch“ eingestufte Sicherheitslücken

Die bedeutendsten Sicherheitslücken

1. CVE-2026-96951 – Umgehung der Sicherheitsfunktionen der Windows-Shell

CVSS: 8,8
Status: Wird aktiv in der Praxis ausgenutzt

Bei dieser Sicherheitslücke handelt es sich um eine Schwachstelle in der Windows-Shell, die zur Umgehung der „Microsoft Mark of the Web“ (MOTW)-Schutzmaßnahmen ausgenutzt werden kann. Eine erfolgreiche Ausnutzung kann dazu führen, dass schädliche Dateien, die per E-Mail, über Messaging-Plattformen oder als Download bereitgestellt werden, die Sicherheitskontrollen umgehen, die dazu dienen, Benutzer vor der Ausführung zu warnen.

Angriffsszenario

Ein Angreifer versendet eine speziell präparierte Datei per E-Mail oder Instant Messaging und verleitet einen Benutzer dazu, diese zu öffnen. Die Ausnutzung erfordert eine Benutzerinteraktion, ermöglicht es dem Angreifer jedoch, die MOTW-Schutzmaßnahmen zu umgehen.

Risiko

• Phishing-Kampagnen
• Angriffe zum Erlangen des ersten Zugriffs
• Verbreitung von Malware
• Mögliche Einsatzketten für Ransomware

Die CISA hat diese Sicherheitslücke in ihren Katalog „Known Exploited Vulnerabilities“ (KEV) aufgenommen.

2. CVE-2026-108398 – .NET Framework WDAC-Umgehung

CVSS: 8,8
Status: Öffentlich bekannt

Diese Sicherheitslücke ermöglicht es einem lokal authentifizierten Angreifer, die Einschränkungen von Windows Defender Application Control (WDAC) zu umgehen, indem er eine bösartige .NET-Assembly in einen geschützten Prozess lädt. Eine Benutzerinteraktion ist nicht erforderlich.

Mögliche Auswirkungen

• Umgehung der Anwendungs-Whitelist
• Ausführung von nicht autorisiertem Code
• Umgehung von Sicherheitsmaßnahmen
• Persistenz nach einer Kompromittierung

Diese Schwachstelle ist insbesondere als Technik nach einer Kompromittierung besorgniserregend, da sie Angreifern, die bereits Zugriff auf das System haben, ermöglicht, die Sicherheitskontrollen an Endgeräten zu untergraben.

3. CVE-2026-92707 – MessagePack-CSharp-Denial-of-Service

CVSS: 5,3
Status: Öffentlich bekannt

Eine Schwachstelle bei der unsachgemäßen Speicherzuweisung in MessagePack-CSharp könnte es einem Angreifer aus der Ferne ermöglichen, Denial-of-Service-Zustände auszulösen.

Obwohl diese Schwachstelle nicht so schwerwiegend ist wie die aktiv ausgenutzten Schwachstellen, könnte die öffentliche Bekanntgabe zu vermehrten Ausnutzungsversuchen führen.

4. CVE-2026-21413 – Raw Image Extension (RCE)

CVSS: 9,8

Eine heap-basierte Pufferüberlauf-Sicherheitslücke, die die „Raw Image Extension“ von Microsoft betrifft, kann zur Ausführung von Remote-Code führen. Ein Angreifer muss lediglich einen Benutzer dazu bringen, einen Ordner aufzurufen, der eine bösartige RAW-Bilddatei enthält. Bereits die Erstellung von Windows-Miniaturansichten kann die Sicherheitslücke auslösen, ohne dass das Bild geöffnet wird.

Mögliche Auswirkungen

• Remote-Code-Ausführung
• Verbreitung von Malware
• Erster Zugriff über Dateifreigaben und Wechseldatenträger
• Kompromittierung von Arbeitsstationen

Bedrohungsbewertung

Das Hauptproblem ist CVE-2026-96951, da diese Schwachstelle aktiv ausgenutzt wird und einen Mechanismus bietet, um MOTW-Schutzmaßnahmen zu umgehen, auf die häufig zur Abwehr von Phishing und Malware-Verbreitung gesetzt wird.

Angreifer nutzen häufig MOTW-Umgehungstechniken, um:

• Malware über Archive und heruntergeladene Dateien zu verbreiten
• Sicherheitswarnungen der Benutzer zu umgehen
• eine anschließende Ausweitung von Berechtigungen und den Diebstahl von Anmeldedaten zu ermöglichen

Die WDAC-Umgehungsschwachstelle im .NET Framework erhöht das Risiko zusätzlich, da sie es Angreifern, die bereits einen Fuß in das System gesetzt haben, ermöglicht, Sicherheitsmaßnahmen zur Anwendungskontrolle zu umgehen und nicht autorisierten Code auszuführen.

Empfohlene Maßnahmen

Sofort (0–24 Stunden)

1. Priorisieren Sie die Bereitstellung von Microsoft-Updates, die folgende Schwachstelle beheben:
   • CVE-2026-96951
   • CVE-2026-108398
   • CVE-2026-21413
2. Identifizieren Sie betroffene Systeme:
   • Windows-Server
   • Arbeitsstationen mit Administratorrechten
   • Tier-0-Infrastruktur
   • Jump-Hosts
3. Stellen Sie sicher, dass die WDAC-Richtlinien auch nach der Installation von Patches weiterhin durchgesetzt werden.