Mobile-Menu

Microsoft Patchday Dezember 2025 Codeausführung, Privilegieneskalation und aktive Angriffe

Von Thomas Joos 5 min Lesedauer

Microsoft schließt das Jahr mit 57 neuen CVEs in Windows, Office, Exchange, Azure, Copilot, PowerShell und Windows Defender ab. Unter Einbeziehung der Chromium-Korrekturen wächst die Zahl auf 71 Schwachstellen.

Die gefährlichste Schwachstelle des Micorosft Patchdays im Dezember ist CVE-2025-62221 im Cloud Files Mini Filter Driver, da sie bereits aktiv ausgenutzt wird und lokale Privilegieneskalation auf allen unterstützten Windows-Versionen ermöglicht.(Bild: Dall-E / Vogel IT-Medien / KI-generiert)
Die gefährlichste Schwachstelle des Micorosft Patchdays im Dezember ist CVE-2025-62221 im Cloud Files Mini Filter Driver, da sie bereits aktiv ausgenutzt wird und lokale Privilegieneskalation auf allen unterstützten Windows-Versionen ermöglicht.
(Bild: Dall-E / Vogel IT-Medien / KI-generiert)

Beim letzten Patch Tuesday des Jahres verpasst Microsoft knapp einen neuen Rekord. Mit 57 Schwachstellen – 71, wenn man die Chromium-Korrekturen mitzählt – hat der Software-Hersteller im Jahr 2025 insgesamt 1.140 CVEs gefixt. Nur 2020 waren es noch mehr.

Beim Dezember-Patchday schließt Microsoft drei kritische und 53 wichtige Schwachstellen. Der Schwerpunkt ihrer Ausnutzung liegt dabei auf Codeausführung und Privilegieneskalation in Kernkomponenten der Plattformen. Eine der Schwachstellen steht bereits unter aktiven Angriff, zwei weitere sind öffentlich bekannt.

Use-after-free-Fehler im Cloud Files Mini Filter Driver

Die Schwachstelle im Cloud Files Mini Filter Driver, CVE-2025-62221, hat einen CVSS-Score von 7.8 und wird aktiv ausgenutzt. Die Ursache liegt in einem Use-After-Free-Fehler, der Angriffe auf allen unterstützten Windows-Versionen ermöglicht. Ein lokaler Nutzer führt präparierten Code aus, erhöht die Rechte und erreicht Systemniveau. Solche Sicherheitslücken dienen als Baustein für komplexere Angriffsketten, da eine Privilegienausweitung vom Benutzerkontext in privilegierte Bereiche erfolgt. Die Gefahr wächst in Kombination mit weiteren Schwachstellen für Codeausführung, die im Dezember ebenfalls adressiert werden.

Office und Outlook mit erneutem Fokus auf Remote-Code-Ausführung

Die beiden Office-Sicherheitslücken CVE-2025-62554 und CVE-2025-62557 haben jeweils einen CVSS-Score von 8.4 und erlauben Remote-Code-Ausführung über die Vorschau­funktion. Der Angriffsweg erfordert keine Interaktion, sobald ein Dokument geöffnet wird. Die Vorschau­funk­tion bildet seit Monaten einen zentralen Angriffsvektor, beim Patchday im Juni schloss Microsoft vier solcher Schwachstellen. Für Office LTSC auf macOS gibt es vorerst keine Aktualisierungen.

Die Outlook-Schwachstelle CVE-2025-62562 hat einen CVSS-Score von 7.8 und erfordert eine Antwort auf eine präparierte E-Mail. Die Bewertung fällt nur für SharePoint Enterprise Server 2016 kritisch aus. Technisch entsteht der Angriff durch manipulierte Inhalte in Nach­rich­ten­ob­jek­ten, die bei falscher Verarbeitung zu Codeausführung führen.

Command Injection in GitHub Copilot für JetBrains

CVE-2025-64671, eine Schwachstelle in Copilot für JetBrains, ist öffentlich bekannt und hat einen CVSS-Score von 8.4. Ein Fehler in der Befehlsverarbeitung führt zu Command Injection. Ein Angreifer nutzt untrusted Files oder einen manipulierten Model Context Protocol Server, fügt zusätzliche Befehle in genehmigte Aktionen ein und erreicht Codeausführung. Die Zu­ord­nung als lokale Schwachstelle unterschätzt die Möglichkeit sozialer Manipulation, da remote initiierte Aktionen lokal verarbeitet werden. Das Risiko wächst, wenn Terminaleinstellungen automatische Ausführungen zulassen.

PowerShell mit öffentlich bekannter Schwachstelle für Codeausführung

Die öffentlich bekannte Schwachstelle in PowerShell, CVE-2025-54100, hat einen CVSS-Score von 7.8. Die Ursache liegt in der Auswertung externer Eingaben über Invoke-WebRequest. Angreifer fügen Befehle in Umgebungen ein, die nicht korrekt bereinigt werden. Nach In­stalla­tion der Korrekturen fordert PowerShell zusätzliche Sicherheitsbestätigungen an. Der Angriff endet in der Ausführung beliebiger Befehle im Kontext des Nutzers.

Azure Monitor Agent und ReFS mit netzwerkbasierten Angriffspunkten

Eine Sicherheitslücke im Azure Monitor Agent, CVE-2025-62550, hat einen CVSS-Score von 8.8. Ein Heap-Überlauf erlaubt Codeausführung nach erfolgreicher Authentifizierung innerhalb eines lokalen Netzwerks auf Azure Linux Virtual Machines. Der Angriff führt zur Ausführung von Befehlen im Kontext des syslog-Nutzers.

Ähnlich verhält es sich mit CVE-2025-62456, die einen Fehler in ReFS beschreibt. Die Schwach­stelle hat ebenfalls einen CVSS-Score von 8.8 und basiert auf einem Heap-Überlauf, der über Netzwerkpfade erreichbar ist. Der Angriff erfordert eine gültige Authentifizierung, führt nach erfolgreicher Ausnutzung aber zur vollständigen Kontrolle der Zielinstanz.

RRAS mit wiederkehrender Remote Code Execution

RRAS steht mit mehreren Schwachstellen im Fokus, darunter eine Remote-Code-Aus­führ­ung,CVE-2025-62549, bewertet mit einem CVSS-Score von 8.8. Authentifizierte Nutzer führen manipulierten Traffic ein, dessen Verarbeitung in RRAS zu Codeausführung führt. Die Schwach­stelle mit der Kennung CVE-2025-64678 ist ebenfalls in RRAS verankert und hat einen CVSS-Score von 8.8, führt aber zu einer Privilegienausweitung. Die Voraussetzung liegt in einem authentifizierten und domänengebundenen Nutzer. Die Umsetzung des Angriffs ermöglicht Codeausführung auf dem Zielsystem. Die Angriffe lassen sich in Szenarien kombinieren, in denen initiale Zugriffe bereits vorhanden sind.

Breites Spektrum an Privilegieneskalation in Windows-Kernkomponenten

Mehrere Schwachstellen betreffen zentrale Windows-Komponenten wie den Common Log File System Driver, Shell, Win32k, Projected File System, Remote Access Connection Manager und den Storage VSP Driver. Sie besitzen CVSS-Werte zwischen 7 und 7.8. Ein Angriff erfolgt durch lokal ausgeführten Code, der unzureichend isolierte Datenstrukturen manipuliert. Die feh­ler­hafte Verarbeitung führt zu Codeausführung auf Systemebene. Dazu gehören die Kennungen:

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung
  • CVE-2025-62470 im Common Log File System Driver
  • CVE-2025-62458 im Bereich Win32k
  • CVE-2025-62454 und CVE-2025-62457 im Projected File System und in den Cloud Files Mini Filter Komponenten

Und auch die Shell-Schwachstelle CVE-2025-64661 hebt Integritätsstufen an und ermöglicht das Verlassen isolierter Prozesse.

Sicherheitslücken in Access, Excel und Word

Excel steht mit mehreren CVEs im Fokus und erreicht CVSS-Werte von 7.8. Dazu gehören:

  • CVE-2025-62553
  • CVE-2025-62556
  • CVE-2025-62560
  • CVE-2025-62561
  • CVE-2025-62563
  • CVE-2025-62564

Die Angriffe basieren auf fehlerhaften Parsern für Dokumentobjekte und führen zu Codeausführung beim Öffnen manipulierter Dateien. Word ist mit CVE-2025-62558 und CVE-2025-62559 vertreten. Access weist mit CVE-2025-62552 eine Sicherheitslücke mit einem CVSS-Score von 7.8 auf, die ebenfalls zur Ausführung beliebiger Befehle führt.

Exchange und SharePoint mit Spoofing-Fehlern

Exchange enthält eine Schwachstelle für Privilegieneskalation, CVE-2025-64666, mit einem CVSS-Score von 7.5. Ein Angreifer muss umfangreiche Vorbereitung betreiben, erreicht nach erfolgreicher Ausnutzung aber privilegierte Kontexte. Da ältere Exchange-Versionen nicht mehr unterstützt werden, lassen sich diese Systeme nur über ESU-Angebote absichern. Die zweite Exchange-Schwachstelle, CVE-2025-64667, ist ein Spoofing-Fehler mit einem CVSS-Score von 5.3, der manipulierte Absenderangaben erzeugt. SharePoint enthält mit CVE-2025-64672 ein XSS-basiertes Spoofing mit einem CVSS-Score von 8.8 und verändert visuelle Darstellungen in Weboberflächen.

Denial-of-Service in DirectX und Hyper-V

Die beiden DirectX-DoS-Sicherheitslücken, CVE-2025-62463 und CVE-2025-62465, haben je einen CVSS-Score von 6.5. Ein Angreifer in einer Hyper-V-Umgebung führt manipulierte Grafikaufrufe aus, die zum Abbruch von Diensten führen. Die Ursache liegt in fehlerhaften Validierungsroutinen im Grafikkernel. Für Hyper-V nennt Microsoft zusätzlich CVE-2025-62567 mit einem CVSS-Score von 5.3. Die Angriffe richten sich gegen Zielinstanzen in virtualisierten Konfigurationen.

Fazit zum Patchday

Der Dezember-Patchday legt den Schwerpunkt auf Codeausführung über Office-Dokumente mit den Schwachstellen CVE-2025-62554 und CVE-2025-62557 und adressiert eine aktiv aus­ge­nutzte Rechteausweitung im Cloud Files Mini Filter Driver, CVE-2025-62221 mit CVSS 7.8. Die öffentlich bekannte Command Injection in Copilot für JetBrains, CVE-2025-64671 mit CVSS 8.4, und die PowerShell-Schwachstelle, CVE-2025-54100 mit CVSS 7.8, erweitern das Angriffs­spektrum über Entwicklungs- und Automatisierungsumgebungen. RRAS und ReFS liefern zusätzliche Angriffswege für Remote-Code-Ausführung mit CVSS-Werten bis 8.8. Die Vielzahl an Privilegieneskalationen in Kernkomponenten verdeutlicht die Tiefe der Angriffsflächen in Windows.

Ihre Meinung zu den Patchday-News ist gefragt!

Seit vielen Jahren veröffentlichen wir regelmäßig Meldungen zum Microsoft Patchday. Wir würden gerne von Ihnen wissen, wie wir die Meldungen noch nützlicher für Ihre tägliche Arbeit machen können. Welche Infos wünschen Sie sich zusätzlich, was können wir übersichtlicher machen, was weglassen? Schreiben Sie uns eine E-Mail! Wir lesen jede Zuschrift, versprochen!

(ID:50643437)

Weiterführende Inhalte