Microsoft hat Sicherheitsupdates veröffentlicht, die eine Rekordzahl von 1.413 Sicherheitslücken in seinem gesamten Produktportfolio beheben. Die Veröffentlichung umfasst eine aktiv ausgenutzte Sicherheitslücke, mehrere öffentlich bekannt gewordene Sicherheitslücken sowie über 70 als „kritisch“ eingestufte Schwachstellen. Insbesondere ermöglicht eine aktiv ausgenutzte Sicherheitslücke in der Windows-Shell Angreifern, die „Mark of the Web“ (MOTW)-Schutzmaßnahmen zu umgehen, wodurch potenziell die Ausführung von schädlichen Inhalten ermöglicht wird, die über Phishing-E-Mails und bösartige Links übermittelt werden.
Angesichts der Vielzahl der Sicherheitslücken und der Tatsache, dass diese aktiv ausgenutzt werden, sollten Unternehmen der Bereitstellung von Patches Priorität einräumen, insbesondere für Systeme mit Internetanbindung, privilegierte Arbeitsplätze und kritische Infrastruktureinrichtungen.
Von Microsoft behoben:
CVSS: 8,8
Status: Wird aktiv in der Praxis ausgenutzt
Bei dieser Sicherheitslücke handelt es sich um eine Schwachstelle in der Windows-Shell, die zur Umgehung der „Microsoft Mark of the Web“ (MOTW)-Schutzmaßnahmen ausgenutzt werden kann. Eine erfolgreiche Ausnutzung kann dazu führen, dass schädliche Dateien, die per E-Mail, über Messaging-Plattformen oder als Download bereitgestellt werden, die Sicherheitskontrollen umgehen, die dazu dienen, Benutzer vor der Ausführung zu warnen.
Angriffsszenario
Ein Angreifer versendet eine speziell präparierte Datei per E-Mail oder Instant Messaging und verleitet einen Benutzer dazu, diese zu öffnen. Die Ausnutzung erfordert eine Benutzerinteraktion, ermöglicht es dem Angreifer jedoch, die MOTW-Schutzmaßnahmen zu umgehen.
Risiko
Die CISA hat diese Sicherheitslücke in ihren Katalog „Known Exploited Vulnerabilities“ (KEV) aufgenommen.
CVSS: 8,8
Status: Öffentlich bekannt
Diese Sicherheitslücke ermöglicht es einem lokal authentifizierten Angreifer, die Einschränkungen von Windows Defender Application Control (WDAC) zu umgehen, indem er eine bösartige .NET-Assembly in einen geschützten Prozess lädt. Eine Benutzerinteraktion ist nicht erforderlich.
Mögliche Auswirkungen
Diese Schwachstelle ist insbesondere als Technik nach einer Kompromittierung besorgniserregend, da sie Angreifern, die bereits Zugriff auf das System haben, ermöglicht, die Sicherheitskontrollen an Endgeräten zu untergraben.
CVSS: 5,3
Status: Öffentlich bekannt
Eine Schwachstelle bei der unsachgemäßen Speicherzuweisung in MessagePack-CSharp könnte es einem Angreifer aus der Ferne ermöglichen, Denial-of-Service-Zustände auszulösen.
Obwohl diese Schwachstelle nicht so schwerwiegend ist wie die aktiv ausgenutzten Schwachstellen, könnte die öffentliche Bekanntgabe zu vermehrten Ausnutzungsversuchen führen.
CVSS: 9,8
Eine heap-basierte Pufferüberlauf-Sicherheitslücke, die die „Raw Image Extension“ von Microsoft betrifft, kann zur Ausführung von Remote-Code führen. Ein Angreifer muss lediglich einen Benutzer dazu bringen, einen Ordner aufzurufen, der eine bösartige RAW-Bilddatei enthält. Bereits die Erstellung von Windows-Miniaturansichten kann die Sicherheitslücke auslösen, ohne dass das Bild geöffnet wird.
Mögliche Auswirkungen
Das Hauptproblem ist CVE-2026-96951, da diese Schwachstelle aktiv ausgenutzt wird und einen Mechanismus bietet, um MOTW-Schutzmaßnahmen zu umgehen, auf die häufig zur Abwehr von Phishing und Malware-Verbreitung gesetzt wird.
Angreifer nutzen häufig MOTW-Umgehungstechniken, um:
Die WDAC-Umgehungsschwachstelle im .NET Framework erhöht das Risiko zusätzlich, da sie es Angreifern, die bereits einen Fuß in das System gesetzt haben, ermöglicht, Sicherheitsmaßnahmen zur Anwendungskontrolle zu umgehen und nicht autorisierten Code auszuführen.
Sofort (0–24 Stunden)