Microsoft Patchday April 2026: 165 CVEs & SharePoint-Attacke

Microsoft Patchday April 2026 165 CVEs, aktive SharePoint-Attacke und zwei Wurm-Kandidaten

15.04.2026 Von Thomas Joos 4 min Lesedauer

Anbieter zum Thema

Microsoft presst im April 2026 ganze 165 neue CVEs in seinen Patchday. Acht davon sind kritisch. Angreifer nutzen eine SharePoint-Sicherheitslücke bereits aus, ein Defender-Fehler gilt als öffentlich bekannt. Zählt man Chromium und weiteren Fremdcode hinzu, sind es 247 Einträge.

Der Microsoft Patchday April 2026 schließt 165 Sicherheitslücken, darunter die kritische Schwachstelle CVE-2026-33824 im IKE-Dienst, die unauthentifizierten Angreifern wurmartige Remote Code Execution über präparierte UDP-Pakete auf Port 500 und 4500 ermöglicht.(Bild: Dall-E / Vogel IT-Medien / KI-generiert) — Der Microsoft Patchday April 2026 schließt 165 Sicherheitslücken, darunter die kritische Schwachstelle CVE-2026-33824 im IKE-Dienst, die unauthentifizierten Angreifern wurmartige Remote Code Execution über präparierte UDP-Pakete auf Port 500 und 4500 ermöglicht.
(Bild: Dall-E / Vogel IT-Medien / KI-generiert)

Ein wichtiger Patch des Microsoft Patchdays im April betrifft SharePoint-Server. Hinter CVE-2026-32201 steckt ein Spoofing-Fehler mit XSS-Bezügen, der einen CVSS-Score von 6.5 hat. Angreifer können präparierte Requests an exponierte SharePoint-Systeme senden, lesen dadurch Informationen aus oder stoßen Änderungen an offen gelegten Daten an. In Umgebungen mit Internet-Zugriff, Workflows und Dokumentportalen öffnet der Fehler einen direkten Pfad in Kollaboration und Freigabeprozesse.

Auch 2026 ist der Microsoft Patchday immer am zweiten Dienstag des Monats. (Bild: Microsoft, Pixabay)

Microsoft reagiert mit außerplanmäßigen Updates auf eine Sicherheitsanfälligkeit in Office 2016 bis 2024 und Office 365-Apps und stellt derzeit im Eiltempo Notfall-Patches bereit, um schwerwiegende Angriffe durch das Umgehen von Sicherheitsfunktionen zu verhindern. (Bild: Dall-E / KI-generiert)

Zwei Netzwerkfehler mit Wurm-Potenzial

Mit CVE-2026-33827 schließt Microsoft eine TCP/IP-RCE, die einen CVSS-Score von 8.1 hat. Unauthentifizierte Angreifer schicken bei dieser Sicherheitslücke präparierte Pakete an Systeme mit IPv6 und IPsec, treffen eine Race Condition und führen Code ohne Nutzeraktion aus. Ähnlich brisant läuft CVE-2026-33824 im IKE-Dienst. Die Schwachstelle hat einen CVSS-Score von 9.8, reagiert auf präparierte UDP-Pakete über Port 500 und 4500 und öffnet damit einen zweiten Kandidaten für wurmartige Angriffe. Ein Filter auf diesen Ports stoppt externe Pakete, verhindert aber keine laterale Bewegung im internen Netz.

Die Schwachstelle CVE-2025-53770 gilt als hochgefährlich, da sie bereits weltweit von Angreifern ausgenutzt wird und SharePoint-Server in Behörden, Unternehmen und kritischen Infrastrukturen kompromittierbar macht. (Bild: Dall-E / KI-generiert)

Office, RDP und Active Directory

Drei kritische Office-Fehler fallen auf, weil schon das Vorschaufenster als Angriffsweg reicht. Sowohl CVE-2026-32190 als auch CVE-2026-33114 und CVE-2026-33115 haben jeweils einen CVSS-Score von 8.4. Office rendert präparierte Inhalte schon in der Vorschau, dadurch startet der Angriffsweg oft vor dem eigentlichen Öffnen eines Dokuments. Mit CVE-2026-32157 gibt es mal wieder einen RDP-Client-Fehler mit einem CVSS-Score von 8.8. Hier lockt ein bösartiger RDP-Server das Ziel in eine manipulierte Sitzung und führt Code auf dem Client aus.

Active Directory taucht ebenfalls beim Patchday auf. Der Fehler CVE-2026-33826 hat einen CVSS-Score von 8.0 und verlangt Authentisierung plus Netz-Nähe, ermöglicht danach aber Remote Code Execution im Verzeichnisdienst. Parallel zieht Microsoft neue Hinweisfenster für RDP-Dateien ein, damit manipulierte Verbindungsprofile nicht mehr einfach so aufgehen.

Bei erfolgreicher Ausnutzung der Sicherheitslücke CVE-2026-26119 im Windows Admin Center könnten Angreifer unter bestimmten Bedingungen vollständige Administratorrechte im Netzwerk ihrer Opfer erlangen und so eine umfassende Kompromittierung der gesamten Domäne ermöglichen. (©sasun Bughdaryan - stock.adobe.com)

Lokale SYSTEM-Sprünge dominieren

Viele Fehler heben lokalen Code auf SYSTEM- oder auf Admin-Niveau, was den zweiten Schritt nach Phishing, Makro-Missbrauch oder Browser-Fallout liefert. Das reicht von Desktop Windows Manager und Kernel über AFD für WinSock, COM, Shell, Projected File System und Push Notifications bis zu WSUS, SSDP und UPnP. Im Feld der Sandbox-Ausbrüche sticht CVE-202626167 aus dem Push-Notifications-Block heraus, denn der Fehler kommt mit niedriger Komplexität aus. Andere Kandidaten in diesem Muster hängen an Race Conditions und bremsen Exploit-Code dadurch nur leicht.

Der Azure-Monitor-Agent gibt nach Erfolg Root-Rechte frei, die entsprechenden Schwachstellen CVE-2026-32168 und CVE-2026-32192 tragen jeweils einen CVSS-Score von 7.8. Im Brokering File System reicht ein Treffer nur bis zum Konto des angemeldeten Nutzers, also nicht automatisch bis SYSTEM, doch Admin-Konten auf Arbeitsplätzen machen auch diesen Pfad problematisch. Mehrere DWM- und AFD-Fehler können zudem den Rechner abstürzen lassen.

Microsoft Azure bietet mit den drei anfälligen Lösungen die Möglichkeit, serverlose Anwendungen zu erstellen, den Anwendungs-Traffic zu verwalten und hybride sowie Multicloud-Umgebungen zu steuern. Bei erfolgreicher Ausnutzung sind damit zahlreiche sensible Informationen für Angreifer potenziell zugänglich. (Bild: © Syda Productions - stock.adobe.com)

Schutzmechanismen bröckeln

Die SFB-Gruppe greift im April direkt Vertrauenskette und Schutzgrenzen an. Power Apps umfasst mit CVE-2026-26149 einen Fehler, der einen CVSS-Score von 9.0 hat und eine Sicherheitsabfrage umgeht, danach stößt ein externer Protokollaufruf unbeabsichtigte Aktionen auf dem Gerät an. PowerShell liefert mit CVE-2026-26143 einen zweiten heiklen Fall. Der Fehler hat einen CVSS-Score von 7.8 und umgeht Prüfungen für dynamische Ausdrücke, was am Ende sogar Codepfade freilegt. Im Windows-Shell-Block ist CVE-2026-32225 mit einem CVSS-Score von 8.8 relevant. BitLocker, Secure Boot, Windows Hello und WinRE stehen ebenfalls im Fokus. Wichtig ist auch der VBS-Fehler CVE-2026-23670. Hier erlaubt ein kompromittierter Windows-Kernel Eingriffe in Speicher des Secure Kernel.

Entra ID und Microsoft 365 mit Passkeys nutzen: So geht’s. (Bild: BillionPhotos.com - stock.adobe.com)

Microsoft-Produkte wie Windows, Azure, Office, Dynamics Visual Studio und viele mehr werden ausgemustert oder werden auf erweiterten Support umgestellt oder erhalten gar keinen Support mehr. (Bild: Dall-E / Vogel IT-Medien GmbH / KI-generiert)

SQL, Hyper-V, MCP und DoS

Der Fehler CVE-2026-23666 hat einen CVSS-Score von 7.5, trägt das Label kritisch und legt Dienste ohne Authentisierung über das Netz lahm. Im Bereich RCE fallen zudem SQL Server, Hyper-V, Snipping Tool und UPnP Device Host auf. Die Schwachstelle CVE-2026-33120 in SQL Server hat einen CVSS-Score von 8.8 und erfordert eine erfolgreiche Authentifizierung. Nach Installation des Updates sind zusätzliche administrative Maßnahmen erforderlich, da der Fix erst nach Abschluss weiterer Konfigurations- oder Aktualisierungsschritte vollständig wirksam wird. Die beiden Hyper-V-Fehler CVE-2026-26156 und CVE-2026-32149 wirken fast als lokale EoP, weil Angreifer Code lokal in der Virtualisierungsschicht platzieren können.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Geschäftliche E-Mail

Bitte geben Sie eine gültige E-Mailadresse ein.

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Stand: 08.12.2025

Es ist für uns eine Selbstverständlichkeit, dass wir verantwortungsvoll mit Ihren personenbezogenen Daten umgehen. Sofern wir personenbezogene Daten von Ihnen erheben, verarbeiten wir diese unter Beachtung der geltenden Datenschutzvorschriften. Detaillierte Informationen finden Sie in unserer Datenschutzerklärung.

Einwilligung in die Verwendung von Daten zu Werbezwecken

Ich bin damit einverstanden, dass die Vogel IT-Medien GmbH, Max-Josef-Metzger-Straße 21, 86157 Augsburg, einschließlich aller mit ihr im Sinne der §§ 15 ff. AktG verbundenen Unternehmen (im weiteren: Vogel Communications Group) meine E-Mail-Adresse für die Zusendung von Newslettern und Werbung nutzt. Auflistungen der jeweils zugehörigen Unternehmen können hier abgerufen werden.

Der Newsletterinhalt erstreckt sich dabei auf Produkte und Dienstleistungen aller zuvor genannten Unternehmen, darunter beispielsweise Fachzeitschriften und Fachbücher, Veranstaltungen und Messen sowie veranstaltungsbezogene Produkte und Dienstleistungen, Print- und Digital-Mediaangebote und Services wie weitere (redaktionelle) Newsletter, Gewinnspiele, Lead-Kampagnen, Marktforschung im Online- und Offline-Bereich, fachspezifische Webportale und E-Learning-Angebote. Wenn auch meine persönliche Telefonnummer erhoben wurde, darf diese für die Unterbreitung von Angeboten der vorgenannten Produkte und Dienstleistungen der vorgenannten Unternehmen und Marktforschung genutzt werden.

Meine Einwilligung umfasst zudem die Verarbeitung meiner E-Mail-Adresse und Telefonnummer für den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern wie z.B. LinkedIN, Google und Meta. Hierfür darf die Vogel Communications Group die genannten Daten gehasht an Werbepartner übermitteln, die diese Daten dann nutzen, um feststellen zu können, ob ich ebenfalls Mitglied auf den besagten Werbepartnerportalen bin. Die Vogel Communications Group nutzt diese Funktion zu Zwecken des Retargeting (Upselling, Crossselling und Kundenbindung), der Generierung von sog. Lookalike Audiences zur Neukundengewinnung und als Ausschlussgrundlage für laufende Werbekampagnen. Weitere Informationen kann ich dem Abschnitt „Datenabgleich zu Marketingzwecken“ in der Datenschutzerklärung entnehmen.

Falls ich im Internet auf Portalen der Vogel Communications Group einschließlich deren mit ihr im Sinne der §§ 15 ff. AktG verbundenen Unternehmen geschützte Inhalte abrufe, muss ich mich mit weiteren Daten für den Zugang zu diesen Inhalten registrieren. Im Gegenzug für diesen gebührenlosen Zugang zu redaktionellen Inhalten dürfen meine Daten im Sinne dieser Einwilligung für die hier genannten Zwecke verwendet werden. Dies gilt nicht für den Datenabgleich zu Marketingzwecken.

Recht auf Widerruf

Mir ist bewusst, dass ich diese Einwilligung jederzeit für die Zukunft widerrufen kann. Durch meinen Widerruf wird die Rechtmäßigkeit der aufgrund meiner Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt. Um meinen Widerruf zu erklären, kann ich als eine Möglichkeit das unter https://contact.vogel.de abrufbare Kontaktformular nutzen. Sofern ich einzelne von mir abonnierte Newsletter nicht mehr erhalten möchte, kann ich darüber hinaus auch den am Ende eines Newsletters eingebundenen Abmeldelink anklicken. Weitere Informationen zu meinem Widerrufsrecht und dessen Ausübung sowie zu den Folgen meines Widerrufs finde ich in der Datenschutzerklärung.

Der Monat bringt zudem zahlreiche Info-Leaks. Copilot und Visual Studio Code öffnen mit CVE2026-23653 Einblick in Inhalte aus dem Model Context Protocol. Unternehmen mit eigenen MCP-Servern verlieren damit interne Prompts, Werkzeuge oder Datenpfade. Im DoS-Feld sticht CVE-2026-33096 in HTTP.sys heraus, Microsoft bietet dazu einen Workaround. Der WSUS-Fehler CVE-2026-26154 wirkt faktisch als DoS, da präparierte Pakete die Verfügbarkeit des Dienstes treffen.

Wir haben die wichtigsten Fakten zum Support-Ende von Windows 10 zusammengetragen, mit Experten mögliche Sicherheitsmaßnahmen für den Weiterbetrieb bewertet und ein alternatives Betriebssystem vorgestellt. Das Ergebnis ist diese Podcast-Reihe, die Sie durch diese Woche begleitet. (Bild: Vogel IT-Medien)

Ihre Meinung zu den Patchday-News ist gefragt!

Seit vielen Jahren veröffentlichen wir regelmäßig Meldungen zum Microsoft Patchday. Wir würden gerne von Ihnen wissen, wie wir die Meldungen noch nützlicher für Ihre tägliche Arbeit machen können. Welche Infos wünschen Sie sich zusätzlich, was können wir übersichtlicher machen, was weglassen? Schreiben Sie uns eine E-Mail! Wir lesen jede Zuschrift, versprochen!

Der Microsoft Patchday ist immer am zweiten Dienstag des Monats. (Bild: Sahir_Stock - stock.adobe.com)

(ID:50803231)