Sicherheitslücke in Windows Shell: Microsoft bestätigt aktive Angriffe

Microsoft hat jetzt die aktive Ausnutzung einer Schwachstelle in der Windows Shell (CVE-2026-32202) bestätigt. Zudem hat die CISA besagte Lücke am 28. April 2026 in den Known Exploited Vulnerabilities Catalog (KEV) aufgenommen. Mit Hilfe von präparierten LNK-Dateien erbeuten Angreifer NTLM-Credentials.

Der Akamai-Forscher Maor Dahan beschreibt die Ursache als unvollständigen Patch für CVE-2026-21510. Die russische Gruppe APT28 nutzte die Vorgänger-Lücke für Angriffe auf die Ukraine und EU-Länder. Eine zweite Schwachstelle CVE-2026-21513 war Teil derselben Exploit-Kette. Microsoft schloss beide Lücken im Februar 2026. Eine erzwungene NTLM-Authentifizierung blieb aber bestehen.

Eine schädliche LNK-Datei muss vom Opfer nicht einmal angeklickt werden, damit der Angriff erfolgreich ist. Schon das Öffnen des Download-Ordners reicht aus. Der Windows Explorer rendert die Dateisymbole und löst damit den UNC-Pfad zum Server des Angreifers automatisch auf. Dabei überträgt das System einen Net-NTLMv2-Hash per SMB. Der Hash lässt sich anschließend per Relay-Angriff weiterverwenden oder kann offline aufgebrochen werden.

Anzeige

Der Patch wurde am 14. April 2026 ausgeliefert. Das Update sollte umgehend installiert werden. Der CVSS-Wert von 4,3 wirkt zunächst niedrig, doch die Schwachstelle ist nicht zu unterschätzen. Die Patch-Strategie darf nicht ausschließlich nach CVSS priorisiert werden. Aktiv ausgenutzte Sicherheitslücken müssen vorgezogen werden, unabhängig vom nominalen Schweregrad.

Ein unvollständiger Patch hat hier eine neue Lücke geschaffen. Die CVE-2026-21510 unterstreicht den Wert gründlicher Tests vor der Auslieferung.

Wie unvollständige Patches in Adobe-Produkten zuletzt zeigten, gilt das Muster auch jenseits des Microsoft-Kosmos. Auch die kürzlich von Microsoft gepatchte Prompt Injection in Copilot Studio fällt in dieselbe Kategorie nachgereichter Korrekturen.