Mobile-Menu

Microsoft Patchday Juni 2026 Aktive Exploits und ein Zero-Day dominieren Juni-Patchday

Von Thomas Joos 4 min Lesedauer

Microsoft schließt im Juni-Patchday rund 206 Schwachstellen, darunter 33 kritische. Ein aktiv ausgenutzter Zero-Day in Defender und drei vor dem Patch öffentlich bekannte Lücken erhöhen den Handlungsdruck. Zusätzlich liefert Microsoft außerplanmäßige Sicherheitsupdates für Exchange Server.

Microsofts Juni-Patchday schließt rund 206 Schwachstellen, darunter einen aktiv ausgenutzten Zero-Day in Defender. Sicherheitsteams müssen zusätzlich außerplanmäßige Exchange-Updates einplanen.(Bild: Dall-E / Vogel IT-Medien / KI-generiert)
Microsofts Juni-Patchday schließt rund 206 Schwachstellen, darunter einen aktiv ausgenutzten Zero-Day in Defender. Sicherheitsteams müssen zusätzlich außerplanmäßige Exchange-Updates einplanen.
(Bild: Dall-E / Vogel IT-Medien / KI-generiert)

Aktiv angegriffen wird CVE-2026-41091, eine Rechteausweitung in Microsoft Defender mit einem CVSS-Score von 7.8. Ein Angreifer ohne Privilegien kann eine präparierte Datei an einem geschützten Speicherort ablegen, woraufhin Defender sie dorthin zurückschreibt und dabei SYSTEM-Rechte vergibt. Microsoft verteilte den Fix außerplanmäßig, Defender bezieht ihn selbsttätig, sodass nur isolierte oder abweichend konfigurierte Umgebungen manuell nachziehen müssen.

Vor dem Patch öffentlich bekannte Lücken

Drei weitere Schwachstellen stuft Microsoft als wahrscheinlich ausnutzbar ein, alle wurden vor Bereitstellung eines Patches publik. CVE-2026-45586 betrifft das Collaborative Translation Framework CTFMON, das Sprach- und Handschrifterkennung bedient, und verschafft Angreifern nach erfolgreicher Ausnutzung SYSTEM-Rechte, der CVSS-Score liegt bei 7.8.

CVE-2026-50507 erlaubt bei physischem Gerätezugriff das Umgehen der BitLocker-Verschlüsselung samt Zugriff auf die geschützten Daten, bewertet mit CVSS 6.8.

Den dritten Fall bildet die HTTP.sys-Schwachstelle CVE-2026-49160 mit einem CVSS-Score von 7.5, ein Denial of Service über HTTP/2, gegen den das Update den Registry-Wert MaxHeadersCount zur Begrenzung der Header-Anzahl in HTTP/2- und HTTP/3-Anfragen einführt.

Unauthentifizierte RCE über das Netz

Drei Lücken mit CVSS 9.8 erlauben entfernte Codeausführung ohne Anmeldung und ohne Nutzerinteraktion. CVE-2026-45657 im Windows-Kernel sitzt im TCP/IP-Stack, gibt SYSTEM-Rechte frei und eignet sich zur wurmartigen Ausbreitung.

Die HTTP.sys-RCE CVE-2026-47291 betrifft nur Systeme, bei denen der Registry-Wert MaxRequestBytes vom Standard abweicht. Für diese Umgebungen dokumentiert Microsoft eine Absicherung per PowerShell-Skript und stuft eine Ausnutzung als wahrscheinlich ein.

Boot-Kette und Datenträgerverschlüsselung

Verschiedene Sicherheitsfeature-Bypässe richten sich gegen Secure Boot. Erfolgreiche Angreifer können nicht vertrauenswürdigen Code beim Start laden, den Virtual Secure Mode überwinden und die Boot-Integrität aushebeln, CVE-2026-45654 benennt die VSM-Gefährdung ausdrücklich.

Tiefer setzen die UEFI-Varianten CVE-2026-45656 und CVE-2026-8863 (CVSS 7.8) an, sie verlangen lokale Administratorrechte oder physischen Zugriff, führen Code dann jedoch vor dem Betriebssystem aus.

Cloud, Identität und Entwicklerwerkzeuge

CVE-2026-48567 in Azure HorizonDB erreicht CVSS 10, ist serverseitig bereits behoben und erfordert keine Kundenaktion. Weitere Azure-Lücken wurden ebenfalls serverseitig geschlossen.

Über CVE-2026-32193 mit einem CVSS-Score von 8.8 können Angreifer aus einem AKS-Container ausbrechen und den Worker-Node übernehmen. CVE-2026-47643 in Azure Stack Edge hat einen CVSS-Score von 9.8 und ermöglicht über einen präparierten Datei-Upload mit manipuliertem Pfad die Ausführung von Code. Bei den Entwicklerwerkzeugen liegt CVE-2026-47281 in Visual Studio Code bei CVSS 9.6, ein Fehler in GitHub Copilot und Visual Studio Code kann zusätzlich das Anmeldetoken eines Arbeitskontos preisgeben.

Exchange, Verzeichnisdienste und Fernzugriff

Exchange Server fällt doppelt auf. Im Patchday erreichen Nutzer über Outlook Web Access mit CVE-2026-45504 und einem CVSS-Score von 8.8 fremde Postfächer. Zusätzlich liefert Microsoft außerplanmäßige Security Updates für Exchange SE, 2016 und 2019, die CVE-2026-42897 schließen. Die OWA-Lücke lässt sich per Cross-Site-Scripting über JavaScript ausnutzen, ein Opfer muss eine präparierte E-Mail öffnen, danach kann der Angreifer Code im OWA-Kontext ausführen. Microsoft rät, die per Emergency Mitigation Service verteilte Notlösung auch nach den Updates beizubehalten, da der Fix nicht vollständig vor den XSS-Angriffen schützt.

Mit dem neuen Format der EMS-Konfigurationsdateien können Server ohne die Juni-Updates ab Juli keine neuen Mitigations mehr beziehen, was vor allem Exchange 2016 und 2019 ohne ESU-Phase-2-Registrierung trifft.

Active Directory Domain Services hat mit CVE-2026-45648 eine RCE-Lücke mit einem CVSS-Score von 8.8, die jedem authentifizierten Nutzer offensteht. Die Codeausführung in den Windows Deployment Services CVE-2026-42987 mit CVSS 8.1 verlangt einen aktiven TFTP-Listener. Drei Hyper-V-Lücken mit CVSS bis 8.4 ermöglichen den Sprung vom Gast auf den Host.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zu Netzwerktechnik, IP-Kommunikation und UCC

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Mehrere Schwachstellen betreffen den Remote Desktop Client, die Höchstwerte von 8.8 erreichen CVE-2026-42985 und CVE-2026-47289. Der Angriff setzt voraus, dass sich ein Opfer mit einem bösartigen Server verbindet, ein Heap-Überlauf führt dann zur Codeausführung, allein CVE-2026-42985 gilt als wahrscheinlicher ausnutzbar.

Lokale Eskalation, Office und SharePoint

SharePoint Server bringt eine authentifizierte Codeausführung sowie mehrere auf Cross-Site-Scripting beschränkte Spoofing-Lücken mit, die Korrekturen decken Server 2016 und Enter­prise Server 2016 ab. Auf der Client-Seite zünden kritische Office-RCEs über das Vorschau­fen­ster, CVE-2026-45472 und CVE-2026-45456 haben jeweils einen CVSS-Score von 8.4.

CVE-2026-45599 und CVE-2026-45635 im UPnP Device Host führen über eine Use-after-free-Bedingung zu Code, beide mit CVSS 8.1. Den Großteil des Aufkommens bilden lokale Rechte­aus­wei­tung­en, die Code auf SYSTEM- oder Administratorrechte heben, herausragend CVE-2026-42904 im TCP/IP-Stack mit CVSS 9.6.

Ihre Meinung zu den Patchday-News ist gefragt!

Seit vielen Jahren veröffentlichen wir regelmäßig Meldungen zum Microsoft Patchday. Wir würden gerne von Ihnen wissen, wie wir die Meldungen noch nützlicher für Ihre tägliche Arbeit machen können. Welche Infos wünschen Sie sich zusätzlich, was können wir über­sichtlicher machen, was weglassen? Schreiben Sie uns eine E-Mail! Wir lesen jede Zuschrift, versprochen!

(ID:50864647)

Weiterführende Inhalte