WASHINGTON / LONDON (IT BOLTWISE) – CISA hat zwei neue, aktiv ausgenutzte Sicherheitslücken in Microsoft Defender in die KEV-Liste aufgenommen und verlangt schnelle Abhilfe bis zum 3. Juni 2026. Die betroffenen Schwachstellen ermöglichen Angriffe mit lokalem Zugriff bis hin zur Rechteausweitung auf Systemebene sowie Denial-of-Service-Angriffe, die Schutzfunktionen außer Kraft setzen. Besonders brisant ist dabei, dass die Ausnutzung direkt gegen die Sicherheitssoftware selbst gerichtet ist, statt nur Erkennungsmechanismen zu umgehen. Für Unternehmen bedeutet das: Patchen allein reicht häufig nicht, sondern erfordert zusätzliche Härtung und Überwachung der Endpunkte.
US-Behörden und Unternehmen stehen vor einer zeitkritischen Aufgabe: Die Cybersecurity-Behörde CISA hat zwei neue Schwachstellen in Microsoft Defender als kritisch eingestuft und in die KEV-Liste (Known Exploited Vulnerabilities) aufgenommen. Damit steigt der Druck deutlich über den normalen Patch-Workflow hinaus, weil die Vorgaben für betroffene Systeme meist zeitnah umgesetzt werden müssen. Im Zentrum stehen zwei CVEs, die nicht nur klassische Sicherheitslücken adressieren, sondern die Schutzkomponente selbst zum Angriffsziel machen: Ein Exploit skaliert von lokalem Zugriff zu höheren Rechten, der andere kann Defenders Schutzfunktionen durch Denial-of-Service-Angriffe aushebeln.
Technisch lassen sich die beiden Risiken in ein Muster übersetzen, das in der Praxis besonders gefährlich ist. Bei der Rechteausweitung (CVE-2026-41091) können Angreifer nach dem Vorliegen eines lokalen Angriffswegs ihre Kontrolle über den Host eskalieren, bis sie Systemebene erreichen. Der zweite Pfad (CVE-2026-45498) folgt dem Prinzip des „Safety Bypass“: Statt ausschließlich Malware zu tarnen, wird die Verfügbarkeit oder Funktionalität der Sicherheitslogik gestört, etwa indem bestimmte Prüf- oder Erkennungsabläufe überlastet werden. In solchen Szenarien kollabiert häufig der beobachtbare Sicherheitsstatus, weil die Telemetrie und Reaktion zeitweise „stumm“ wird.
Dass CISA gerade Defender-Integrationen adressiert, ist auch ein Hinweis auf die Entwicklung in der Angreiferstrategie. Sicherheitssoftware war lange Zeit primär das Ziel zur Umgehung: Angreifer versuchten, Signaturen zu umgehen, Erkennung zu deaktivieren oder über Zertifikate legitime Inhalte zu imitieren. Doch die aktuelle Lage zeigt eine Verschiebung hin zu aktiven Eingriffen in das Erkennungsmodul. Branchenbeobachter fassen das zugespitzt so zusammen: „Das erwartbare Fenster für Schwachstellenmanagement schließt sich immer schneller, sobald öffentlich belastbare Exploits auftauchen.“ Damit wird das Timing zur neuen Kernkompetenz im Security-Betrieb, ähnlich wie es bei Exploit-in-the-wild-Phasen bereits bei anderen EDR-Anbietern zu beobachten war.
Der Markt kontert derweil mit mehreren Ebenen, die über reines Patch-Management hinausgehen. Neben Microsoft Defender setzen viele Unternehmen parallel auf EDR/AV-Technologien anderer Hersteller wie CrowdStrike oder SentinelOne, um Redundanz zu schaffen und eine Ausweichmöglichkeit bei teilweiser Funktionsstörung einzelner Komponenten zu haben. Gleichzeitig steigt die Relevanz von „Layered Degradation“-Erkennung: Wenn Angreifer zuerst den Schutz über DoS- oder Funktions-Exploits drücken und erst danach Payloads nachladen, müssen SIEM/SOC-Teams Verfügbarkeits- und Telemetrieanomalien priorisieren. Ergänzend spielen härtere Systemschutzmaßnahmen hinein, etwa bessere BitLocker-Konfigurationen sowie die Absicherung von Update- und Kontextmenüpfaden, weil auch Kontextfunktionen Teil der Nutzerinteraktion und damit der Angriffsoberfläche sein können.
Historisch wirkt die aktuelle Ereigniskette wie ein Beschleuniger für ein Muster, das sich seit Jahren abzeichnet: Schwachstellen werden nicht mehr nur sporadisch gefunden, sondern in Serien veröffentlicht, oft gepaart mit Proof-of-Concepts und konfigurierten Angriffspfaden. Berichten zufolge begann eine frühere Welle über Race-Condition-Probleme im Signatur-Update-Mechanismus, die zwar geschlossen wurden, aber später nachgelagerte Schwachstellen (etwa in nachfolgenden Komponenten oder Fixes) lange offen blieben. Ergänzende Veröffentlichungen richteten sich sogar gegen BitLocker-bezogene Abläufe oder Cloud-Dateifilter-Driver. Dass parallele Teams auch Malware-Signing-Operationen wie „Fox Tempest“ adressieren konnten, unterstreicht den Gesamttrend: Angreifer optimieren nicht nur Payloads, sondern auch Vertrauen in Ketten, Zertifikate und die darauf aufbauenden Vertrauensanker.
Ein weiterer, organisatorisch wichtiger Aspekt ist die praktische Umsetzbarkeit der Abhilfemaßnahmen. CISA fordert bis zum 3. Juni, betroffene Systeme zu bereinigen oder vom Netz zu nehmen. Gerade in heterogenen Umgebungen mit vielen Endpoint-Typen, unterschiedlichen Defender-Konfigurationen und restriktiven Change-Fenstern kann das zu einem „Shadow Patch“-Problem führen: Teams müssen zwischen Verfügbarkeit, Sicherheit und Compliance abwägen. Dazu passt, dass in Microsofts Support-Umfeld Nutzer bereits über ein Update berichtet haben, das eine zentrale Rechtsklick-Funktion („Mit Microsoft Defender scannen“) blockierte. Auch wenn Funktionsstörungen nicht zwangsläufig Sicherheitslücken sind, zeigen sie die Realität: Ein Patch kann Betrieb und Nutzeraktionen verändern, was wiederum die Angriffs- und Reaktionslogik beeinflusst.
Für die nächsten Wochen wird entscheidend, wie Microsoft und der Security-Operations-Alltag zusammenfinden. Der geplante Patch-Day im Juni 2026 dürfte umfangreiche Updates mitbringen, doch die operative Frage bleibt: Können Admins die verbleibenden Lücken schließen, insbesondere jene, die in der CISA-KEV-Liste stehen? Praktisch sollten Teams neben dem direkten Patchen prüfen, ob die betroffenen Defender-Komponenten in ihren Umgebungen tatsächlich „aktiv“ sind und ob Monitoring- und Alerting-Regeln funktionieren, wenn DoS-artige Muster auftreten. Experten raten zudem, Endpunkte stärker zu härten und den Schutzstatus nicht nur über „Up/Down“-Heuristiken zu bewerten, sondern über belastbare Indikatoren für funktionierende Prüfketten.
Langfristig verschiebt sich damit das Investitionsprofil im Security-Budget. KI-gestützte Tools beschleunigen zwar das Auffinden von Fehlern in Legacy-Code, erhöhen aber auch das Tempo bei der Ausnutzung: Wenn Forschung schneller zu Findings kommt, folgen Angreifer oft schneller zu nutzbaren Exploits. Genau deshalb werden Security-Teams ihre Prozesse stärker auf kurze Reaktionszyklen ausrichten müssen – ähnlich wie im Threat-Modeling, bei dem nicht nur die „wahrscheinlichste“ Schwachstelle, sondern die „schnellste“ Ausnutzungsroute priorisiert wird. Für Entwickler und Betreiber ergeben sich daraus konkrete Chancen: Wer heute Detection-Routinen für Funktionsausfälle, Telemetrie-Lücken und DoS-Signale automatisiert, reduziert morgen die Zeitspanne zwischen Offenlegung und tatsächlichem Schaden. Und genau hier entscheidet sich, ob Patchen allein reicht oder ob ein ganzheitlicher, verifizierbarer Schutzpfad die neue Messlatte wird.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "CISA stuft zwei neue Schwachstellen in Microsoft Defender als kritisch ein" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "CISA stuft zwei neue Schwachstellen in Microsoft Defender als kritisch ein" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »CISA stuft zwei neue Schwachstellen in Microsoft Defender als kritisch ein« bei Google Deutschland suchen, bei Bing oder Google News!