Mobile-Menu

Microsoft Patchday April 2026 165 CVEs, aktive SharePoint-Attacke und zwei Wurm-Kandidaten

Von Thomas Joos 4 min Lesedauer

Microsoft presst im April 2026 ganze 165 neue CVEs in seinen Patchday. Acht davon sind kritisch. Angreifer nutzen eine SharePoint-Sicherheitslücke be­reits aus, ein Defender-Fehler gilt als öffentlich bekannt. Zählt man Chro­mi­um und weiteren Fremdcode hinzu, sind es 247 Einträge.

Der Microsoft Patchday April 2026 schließt 165 Sicherheitslücken, darunter die kritische Schwachstelle CVE-2026-33824 im IKE-Dienst, die unauthentifizierten Angreifern wurmartige Remote Code Execution über präparierte UDP-Pakete auf Port 500 und 4500 ermöglicht.(Bild: Dall-E / Vogel IT-Medien / KI-generiert)
Der Microsoft Patchday April 2026 schließt 165 Sicherheitslücken, darunter die kritische Schwachstelle CVE-2026-33824 im IKE-Dienst, die unauthentifizierten Angreifern wurmartige Remote Code Execution über präparierte UDP-Pakete auf Port 500 und 4500 ermöglicht.
(Bild: Dall-E / Vogel IT-Medien / KI-generiert)

Ein wichtiger Patch des Microsoft Patchdays im April betrifft SharePoint-Server. Hinter CVE-2026-32201 steckt ein Spoofing-Fehler mit XSS-Bezügen, der einen CVSS-Score von 6.5 hat. Angreifer können präparierte Requests an exponierte SharePoint-Systeme senden, lesen dadurch Informationen aus oder stoßen Änderungen an offen gelegten Daten an. In Umge­bun­gen mit Internet-Zugriff, Workflows und Dokumentportalen öffnet der Fehler einen direkten Pfad in Kollaboration und Freigabeprozesse.

Zwei Netzwerkfehler mit Wurm-Potenzial

Mit CVE-2026-33827 schließt Microsoft eine TCP/IP-RCE, die einen CVSS-Score von 8.1 hat. Unauthentifizierte Angreifer schicken bei dieser Sicherheitslücke präparierte Pakete an Sys­teme mit IPv6 und IPsec, treffen eine Race Condition und führen Code ohne Nutzeraktion aus. Ähnlich brisant läuft CVE-2026-33824 im IKE-Dienst. Die Schwachstelle hat einen CVSS-Score von 9.8, reagiert auf präparierte UDP-Pakete über Port 500 und 4500 und öffnet damit einen zweiten Kandidaten für wurmartige Angriffe. Ein Filter auf diesen Ports stoppt externe Pakete, verhindert aber keine laterale Bewegung im internen Netz.

Office, RDP und Active Directory

Drei kritische Office-Fehler fallen auf, weil schon das Vorschaufenster als Angriffsweg reicht. Sowohl CVE-2026-32190 als auch CVE-2026-33114 und CVE-2026-33115 haben jeweils einen CVSS-Score von 8.4. Office rendert präparierte Inhalte schon in der Vorschau, dadurch startet der Angriffsweg oft vor dem eigentlichen Öffnen eines Dokuments. Mit CVE-2026-32157 gibt es mal wieder einen RDP-Client-Fehler mit einem CVSS-Score von 8.8. Hier lockt ein bösartiger RDP-Server das Ziel in eine manipulierte Sitzung und führt Code auf dem Client aus.

Active Directory taucht ebenfalls beim Patchday auf. Der Fehler CVE-2026-33826 hat einen CVSS-Score von 8.0 und verlangt Authentisierung plus Netz-Nähe, ermöglicht danach aber Remote Code Execution im Verzeichnisdienst. Parallel zieht Microsoft neue Hinweisfenster für RDP-Dateien ein, damit manipulierte Verbindungsprofile nicht mehr einfach so aufgehen.

Lokale SYSTEM-Sprünge dominieren

Viele Fehler heben lokalen Code auf SYSTEM- oder auf Admin-Niveau, was den zweiten Schritt nach Phishing, Makro-Missbrauch oder Browser-Fallout liefert. Das reicht von Desktop Win­dows Manager und Kernel über AFD für WinSock, COM, Shell, Projected File System und Push Notifications bis zu WSUS, SSDP und UPnP. Im Feld der Sandbox-Ausbrüche sticht CVE-2026­26167 aus dem Push-Notifications-Block heraus, denn der Fehler kommt mit niedriger Kom­plexi­tät aus. Andere Kandidaten in diesem Muster hängen an Race Conditions und bremsen Exploit-Code dadurch nur leicht.

Der Azure-Monitor-Agent gibt nach Erfolg Root-Rechte frei, die entsprechenden Schwach­stel­len CVE-2026-32168 und CVE-2026-32192 tragen jeweils einen CVSS-Score von 7.8. Im Bro­ker­ing File System reicht ein Treffer nur bis zum Konto des angemeldeten Nutzers, also nicht au­to­matisch bis SYSTEM, doch Admin-Konten auf Arbeitsplätzen machen auch diesen Pfad prob­le­ma­tisch. Mehrere DWM- und AFD-Fehler können zudem den Rechner abstürzen lassen.

Schutzmechanismen bröckeln

Die SFB-Gruppe greift im April direkt Vertrauenskette und Schutzgrenzen an. Power Apps um­fasst mit CVE-2026-26149 einen Fehler, der einen CVSS-Score von 9.0 hat und eine Sicherheits­ab­fra­ge umgeht, danach stößt ein externer Protokollaufruf unbeabsichtigte Aktionen auf dem Gerät an. PowerShell liefert mit CVE-2026-26143 einen zweiten heiklen Fall. Der Fehler hat einen CVSS-Score von 7.8 und umgeht Prüfungen für dynamische Ausdrücke, was am Ende sogar Codepfade freilegt. Im Windows-Shell-Block ist CVE-2026-32225 mit einem CVSS-Score von 8.8 relevant. BitLocker, Secure Boot, Windows Hello und WinRE stehen ebenfalls im Fokus. Wichtig ist auch der VBS-Fehler CVE-2026-23670. Hier erlaubt ein kompromittierter Windows-Kernel Eingriffe in Speicher des Secure Kernel.

SQL, Hyper-V, MCP und DoS

Der Fehler CVE-2026-23666 hat einen CVSS-Score von 7.5, trägt das Label kritisch und legt Dienste ohne Authentisierung über das Netz lahm. Im Bereich RCE fallen zudem SQL Server, Hyper-V, Snipping Tool und UPnP Device Host auf. Die Schwachstelle CVE-2026-33120 in SQL Server hat einen CVSS-Score von 8.8 und erfordert eine erfolgreiche Authentifizierung. Nach Installation des Updates sind zusätzliche administrative Maßnahmen erforderlich, da der Fix erst nach Abschluss weiterer Konfigurations- oder Aktualisierungsschritte vollständig wirksam wird. Die beiden Hyper-V-Fehler CVE-2026-26156 und CVE-2026-32149 wirken fast als lokale EoP, weil Angreifer Code lokal in der Virtualisierungsschicht platzieren können.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zu Netzwerktechnik, IP-Kommunikation und UCC

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Der Monat bringt zudem zahlreiche Info-Leaks. Copilot und Visual Studio Code öffnen mit CVE­2026-23653 Einblick in Inhalte aus dem Model Context Protocol. Unternehmen mit eigenen MCP-Servern verlieren damit interne Prompts, Werkzeuge oder Datenpfade. Im DoS-Feld sticht CVE-2026-33096 in HTTP.sys heraus, Microsoft bietet dazu einen Workaround. Der WSUS-Feh­ler CVE-2026-26154 wirkt faktisch als DoS, da präparierte Pakete die Verfügbarkeit des Diens­tes treffen.

Ihre Meinung zu den Patchday-News ist gefragt!

Seit vielen Jahren veröffentlichen wir regelmäßig Meldungen zum Microsoft Patchday. Wir würden gerne von Ihnen wissen, wie wir die Meldungen noch nützlicher für Ihre tägliche Arbeit machen können. Welche Infos wünschen Sie sich zusätzlich, was können wir über­sichtlicher machen, was weglassen? Schreiben Sie uns eine E-Mail! Wir lesen jede Zuschrift, versprochen!

(ID:50803231)

Weiterführende Inhalte