// HEISE ONLINE — CYBERSECURITY
Patchday: Angreifer nutzen Windows-Shell-Lücke aus
Microsoft hat mehr als 1400 Sicherheitslücken in Windows, Office & Co. geschlossen. Es laufen bereits Attacken.
This article is also available in
English.
It was translated with technical assistance and editorially reviewed before publication.
Derzeit haben Angreifer unter anderem Windows 10 und 11 im Visier und attackieren Systeme. Zwei weitere Sicherheitslücken sind öffentlich bekannt, und es können Angriffe bevorstehen. Windows-Nutzer müssen sicherstellen, dass die Windows-Update-Funktion aktiv ist und die aktuellen Patches installiert sind.
Die ausgenutzte Lücke (CVE-2026-96951 „hoch“) betrifft die Windows Shell und Angreifer können auf einem nicht näher beschriebenen Weg den Mark-of-the-Web-Sicherheitsmechanismus (MotW) umgehen. Dieser markiert aus dem Internet geladene Dateien als solche und gibt beim Öffnen einer derartigen Datei eine entsprechende Warnung aus. In welchem Umfang die Attacken laufen, ist derzeit nicht bekannt. Damit ein solcher Angriff klappt, muss ein Opfer aber mitspielen und etwa einen präparierten Dateianhang einer von einem Angreifer versendeten E-Mail öffnen.
Zwei weitere Schwachstellen in .NET Framework (CVE-2026-108398 „hoch“) und in MessagePack-CSharp (CVE-2026-92707 „mittel“) sind öffentlich bekannt. Attacken können also bevorstehen. Über die .NET-Lücke können Angreifer Sicherheitsfunktionen umgehen, die MessagePack-Lücke eignet sich für DoS-Attacken.
Microsoft Office ist durch zahlreiche Schadcode-Lücken bedroht. Davon gelten einige als „kritisch“ (etwa CVE-2026-88156). Weiterhin sind noch Active Directory, Dynamics 365 und Exchange Server angreifbar. Zusätzlich sind Windows DHCP und auch der Kernel verwundbar. In vielen Fällen können sich Angreifer höhere Rechte verschaffen. Teils erlangen sie sogar Systemrechte und damit die volle Kontrolle über PCs.
Von den Sicherheitslücken sind neben Windows 10 und 11 auch verschiedene Windows-Server-Ausgaben wie Windows Server 2016 und Windows Server 2025 betroffen. Weitere Details zu allen an diesem Patchday geschlossenen Lücken listet Microsoft im Security Update Guide auf.
Ob Sicherheitslücken, Viren oder Trojaner – alle sicherheitsrelevanten Meldungen gibts bei heise security
Ausführliche Informationen zum Versandverfahren und zu Ihren
Widerrufsmöglichkeiten erhalten Sie in unserer
Datenschutzerklärung.
Immer informiert bleiben: Klicken Sie auf das Plus-Symbol an einem Thema, um diesem zu folgen. Wir zeigen Ihnen alle neuen Inhalte zu Ihren Themen.
Mehr erfahren.