Rekord-Patchday bei Microsoft: Rund 200 Schwachstellen inklusive Zero-Days
KI-generiert mit ChatGPT
Microsoft liefert zum Juni-Patchday 2026 den bislang größten Sicherheits-Release seiner Geschichte. Rund 200 Schwachstellen in Windows und anderen Microsoft-Produkten wurden geschlossen. Doch kaum waren die Updates veröffentlicht, meldete der Sicherheitsforscher Nightmare Eclipse bereits den nächsten Zero-Day in Windows Defender. Knapp 40 Schwachstellen stuft Microsoft als kritisch ein. Bei mindestens drei Schwachstellen lag schon vor dem Patchday öffentlich verfügbarer Exploit-Code vor.
Warum widersprechen sich die Zahlen?
Die genaue Gesamtzahl hängt von der Zählweise ab. Krebs on Security kommt auf knapp 200 Schwachstellen, die Microsoft am Juni-Patchday adressierte. The Hacker News kommt auf 206, weil dort zwei Schwachstellen ohne Microsoft-Ursprung mitgezählt werden. Die deutsche Fachpresse nennt 204. Laut Tenable entfallen sechs der gemeldeten Schwachstellen auf Cloud-Komponenten, die Microsoft bereits über den eigenen Wartungsprozess abgesichert hat. Anwender müssen hier nichts weiter unternehmen.
Microsoft führt die hohe Zahl auf einen Trend zurück. Sowohl die eigenen Ingenieure als auch die Sicherheitsbranche setzen verstärkt KI-Werkzeuge ein, um Fehler im Code aufzuspüren. Laut Satnam Narang, leitender Forscher beim Sicherheitsanbieter Tenable, könnte dieses Volumen damit zur neuen Normalität werden.
AnzeigeWelche Zero-Days hat Microsoft geschlossen?
Drei Schwachstellen waren vor dem Patchday bereits öffentlich bekannt. Ein Zero-Day ist eine Schwachstelle, die bekannt wird, bevor ein offizieller Patch bereitsteht. Jede dieser Sicherheitslücken trägt eine CVE-Nummer, die weltweit eindeutige Kennung für einzelne Schwachstellen.
Die erste ist GreenPlasma (CVE-2026-45586), eine Rechteausweitung im Windows Collaborative Translation Framework, die der Forscher Nightmare Eclipse offen legte. Die zweite ist eine Denial-of-Service-Lücke in HTTP.sys (CVE-2026-49160), die das Codex-System von OpenAI gemeldet hat. Bei der dritten kritischen Sicherheitslücke handelt es sich um YellowKey (CVE-2026-50507). Ein BitLocker-Bypass, der einem Angreifer mit physischem Zugriff Einblick in verschlüsselte Daten gibt.
In den Wochen davor wurden bereits zwei weitere Microsoft-Schwachstellen aktiv ausgenutzt. Die CISA führt beide in ihrem Katalog bekannter ausgenutzter Sicherheitslücken. Es handelt sich um eine Cross-Site-Scripting-Lücke im Exchange Server (CVE-2026-42897), die Microsoft mit dem aktuellen Patchday geschlossen hat. Zudem war eine Rechteausweitung in Microsoft Defender (CVE-2026-41091) möglich, die Microsoft bereits Mitte Mai 2026 über ein Definitionsupdate behob.
Ein vergleichbares Muster zeigte sich schon zuvor, als Microsoft aktive Angriffe auf eine Windows-Shell-Lücke bestätigte. Microsoft stellte Nightmare Eclipse zunächst rechtliche Schritte in Aussicht, ruderte nach öffentlicher Kritik jedoch zurück.
Was hat es mit RoguePlanet auf sich?
Nur Stunden nach Erscheinen der Patches stellte Nightmare Eclipse einen Proof-of-Concept-Exploit für eine neue Schwachstelle online. RoguePlanet betrifft Windows-10- und Windows-11-Systeme auch dann, wenn alle aktuellen Updates installiert sind. Über eine Race-Condition-Schwachstelle in Microsoft Defender können Angreifer Befehle mit Systemprivilegien ausführen. Eine Race Condition nutzt aus, dass zwei Vorgänge zeitlich ungünstig zusammentreffen.
Microsoft reagierte schnell. Mit einem Defender-Signaturupdate am 10. Juni 2026 ergänzte der Konzern eine Erkennung namens Exploit:Win32/DfndrRugPlnt.BB. Diese erkennt den veröffentlichten Exploit-Code und stellt ihn unter Quarantäne. Die Schwachstelle selbst ist damit nicht behoben. Sicherheitsforscher betonen, dass die Erkennung nur das konkrete Sample trifft. Schon kleine Änderungen am Code umgehen sie.
Den Proof-of-Concept veröffentlichte der Forscher auf GitHub unter einem neuen Konto. Frühere Konten auf GitHub und GitLab hatte Microsoft zuvor sperren lassen. Parallel legte er Spiegelkopien auf einer selbst betriebenen Git-Instanz ab.
Die hohe Zahl an Sicherheitslücken ist kein reines Microsoft-Phänomen. Auch andere Hersteller liefern derzeit große Pakete aus. Google schloss Anfang Juni 429 Schwachstellen im Chrome-Browser. Bereits im Mai zeigte sich, wie stark KI-gestützte Scanner tief sitzende Schwachstellen über ganze Plattformen hinweg aufdecken. Das Muster aus KI-Funden und schnellen Reaktionen zeigt sich auch bei Gemini CLI und der dortigen CVSS-10-Lücke.
Server, KI-Modelle und Recherche kosten Geld. ClawNews ist unabhängig — hilf mit, dass das so bleibt.
