REDMOND / LONDON (IT BOLTWISE) – Microsoft hat zwei Schwachstellen in Microsoft Defender offengelegt, die bereits aktiv in realen Angriffen ausgenutzt werden. Besonders kritisch ist eine Privilege-Escalation-Fehlkonfiguration, die unter bestimmten Bedingungen SYSTEM-Rechte ermöglichen kann. Zusätzlich betrifft ein Denial-of-Service-Bug den Defender-Betrieb und kann die Schutzfähigkeit beeinträchtigen. Für betroffene Umgebungen sind zeitnahe Updates entscheidend, da die Lücken von CISA in den Known Exploited Vulnerabilities Katalog aufgenommen wurden.
Microsoft schickt in dieser Woche eine klare Sicherheitsbotschaft durch die Unternehmens-IT: Zwei Schwachstellen im Microsoft Defender sind nicht nur theoretisch, sondern werden nach Angaben des Herstellers bereits aktiv im Feld missbraucht. Dabei geht es um zwei unterschiedliche Klassen von Fehlern. Zum einen betrifft es eine lokale Rechteausweitung, die unter Umständen SYSTEM-Privilegien eröffnet. Zum anderen wird ein Denial-of-Service-Problem adressiert, das die Stabilität bzw. Verfügbarkeit von Defender-Komponenten berühren kann. Entscheidend ist nicht nur das Risiko für einzelne Systeme, sondern auch der Hinweis auf die Relevanz des Endpoint-Schutzes als prioritäre Angriffsfläche.
Die kritischere Lücke trägt die Kennzeichnung CVE-2026-41091 und wird mit einem CVSS-Wert von 7,8 bewertet. Microsoft beschreibt als Kernproblem eine fehlerhafte Linkauflösung („link following“) vor dem Zugriff auf Dateien in der Defender-Komponente. In der Praxis kann ein Angreifer einen Pfad- bzw. Link-Umweg ausnutzen, um den Zugriffskontext so zu beeinflussen, dass die Rechte eskalieren. Das ist typisch für Angriffsmuster, die mit lokalen Interaktionen oder manipulierten Dateistrukturen arbeiten. Besonders relevant ist der Umstand, dass die Schwachstelle einen „authorized attacker“ voraussetzt, also nicht zwingend eine klassische Remote-Inititation, aber dennoch in der Post-Exploitation-Phase sehr wertvoll sein kann.
Die zweite, weniger hoch bewertete Schwachstelle heißt CVE-2026-45498 und erreicht einen CVSS-Score von 4,0. Hier handelt es sich um einen Denial-of-Service-Bug im Defender-Umfeld. Solche Bugs werden häufig nicht als „steal money“ oder „take over“ wahrgenommen, sind aber für Angreifer strategisch, weil sie Schutzmechanismen zeitweilig außer Kraft setzen oder deren Verarbeitung verlangsamen können. Das kann Ermittlungen erschweren und weitere Aktionen ermöglichen, etwa wenn zeitkritische Telemetrie fehlt oder Scans nicht wie erwartet laufen. Microsoft benennt konkret die Defender Antimalware Platform-Versionen, in denen beide Probleme behoben wurden: 1.1.26040.8 für die Privilege-Escalation und 4.18.26040.7 für den DoS-Fall.
Für die operative Umsetzung macht Microsoft eine wichtige Einordnung: Systeme, bei denen Microsoft Defender deaktiviert wurde, seien nicht anfällig für die genannten Probleme. Gleichzeitig betont der Hersteller, dass in vielen Umgebungen keine manuelle „Patch-Installation“ im Sinne eines klassischen Hotfix notwendig ist, weil sich Malware-Definitionen sowie die Microsoft Malware Protection Engine im Hintergrund automatisch aktualisieren. Dennoch ist das kein Freifahrtschein für Nachlässigkeit, denn Enterprise-Betriebe brauchen verlässliche Nachweise, dass die installierten Versionen tatsächlich die korrigierten Plattformstände tragen. Praktisch empfiehlt Microsoft die Prüfung über Windows Security, navigiert zu Virus- und Bedrohungsschutz, ruft Schutz-Updates ab und kontrolliert anschließend die Antimalware-ClientVersion, um den Status nachvollziehbar zu machen.
Aus Markt- und Vergleichsperspektive lässt sich hier ein wiederkehrendes Muster erkennen: Endpoint Security ist zunehmend weniger „Firewall und Antivirus“, sondern ein hochkomplexer Sicherheitsstack aus Engine, Signaturen, Erkennungsschichten, EDR-Integration und Verhaltensanalytik. Angreifer versuchen daher, nicht nur Signaturen zu umgehen, sondern Schutzsysteme selbst anzugreifen. In diesem Kontext stehen neben Microsoft auch Anbieter wie CrowdStrike oder Palo Alto Networks mit ihren jeweiligen Plattformen und Agents unter ähnlichen Entwicklungs- und Härtungszwängen. Branchenbeobachter betonen in solchen Fällen, dass das Angriffsrisiko nicht ausschließlich von „Public Exploits“ abhängt, sondern oft von der Geschwindigkeit, mit der Patch-Zyklen und Konfigurations-Standards im Unternehmen umgesetzt werden—insbesondere bei hybridem Betrieb und vielen Win-Clients.
Historisch betrachtet wurden Privilege-Escalation-Fehler in Endpoint-Security-Software zwar immer wieder adressiert, aber Link-Auflösungs- und Pfadmanipulationsmuster gelten seit Jahren als klassische Schwachstellenklasse, weil sie sich in komplexen Dateisystem- und Berechtigungsflüssen verbergen. Auch Denial-of-Service-Probleme tauchen in der Vergangenheit häufig dann auf, wenn Parsing-Logik oder Ereignisverarbeitung unvollständig gegen fehlerhafte Eingaben abgesichert ist. Die aktuelle Meldung reiht sich deshalb in eine Entwicklung ein: Sicherheitsteams müssen heute nicht nur „Angriffe blockieren“, sondern auch die Angriffsfläche der eigenen Sicherheitssoftware ernst nehmen. Damit verschiebt sich die Priorität vom reinen Detection-Fokus hin zu „Hardening durch Prozesse“, also Versionstreue, Telemetrie-Konsistenz und schnelle Reaktionsketten.
Die regulatorische Dimension ist diesmal besonders deutlich. Microsoft nennt als Folge eine Aufnahme beider Lücken in den CISA Known Exploited Vulnerabilities (KEV) Katalog. Damit gilt für US-amerikanische Bundesbehörden des Federal Civilian Executive Branch ein Fix-Fenster bis zum 3. Juni 2026. Für Unternehmen mit Behördenbezug oder vergleichbaren Compliance-Anforderungen bedeutet das: Patch-Planung darf nicht „planmäßig im nächsten Quartal“ enden, sondern muss den Umstand berücksichtigen, dass sich Ausnutzung bereits im Feld abzeichnet. In Expertenkommentaren wird in solchen Konstellationen häufig betont, dass die meisten Schäden nicht durch den Exploit an sich entstehen, sondern durch Verzögerungen in der Verifikation und fehlende Version- oder Richtlinien-Transparenz in großen Rollouts.
Der Blick über diese beiden Defender-Lücken hinaus zeigt, dass die aktuelle Sicherheitswelle breiter ist: Microsoft hat zugleich eine Cross-Site-Scripting-Schwachstelle in On-Premise-Versionen von Exchange Server (CVE-2026-42897, CVSS 8,1) als bereits „weaponized“ eingeordnet. Zudem tauchen im KEV-Umfeld ältere Microsoft-Schwächen aus den Jahren 2008 bis 2010 auf, darunter bekannte Klassen wie Use-after-free in Internet Explorer, NULL-Byte-Overwrites in DirectX/DirectShow sowie Buffer-Overflows in Windows Server Service. Für die Praxis heißt das, dass viele Patch-Backlogs und Edge-Installationen (Legacy-Browser, DirectX-Komponenten, Serverdienste) plötzlich wieder Relevanz gewinnen. In der nächsten Ausbaustufe werden Sicherheitsteams daher stärker auf automatisierte Compliance-Prüfungen, Agent-Versionen und „Exploit Readiness“ setzen müssen—und Entwickler sollten KI-/Automationspipelines so gestalten, dass sie Sicherheitsupdates verifizieren, bevor sie als „done“ markiert werden.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Microsoft Warnt vor aktiv ausgenutzten Defender-Schwachstellen für Privilege Escalation" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Microsoft Warnt vor aktiv ausgenutzten Defender-Schwachstellen für Privilege Escalation" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Microsoft Warnt vor aktiv ausgenutzten Defender-Schwachstellen für Privilege Escalation« bei Google Deutschland suchen, bei Bing oder Google News!