Mobile-Menu

Microsoft Patchday Mai 2026 137 Schwachstellen und vier wurmfähige Netzwerk-Anfälligkeiten

Von Thomas Joos 5 min Lesedauer

Anbieter zum Thema

Onapsis Europe GmbH

Microsoft liefert im Mai 2026 ein umfangreiches Patch-Paket mit 137 neuen CVEs aus. Davon erscheinen 30 Einträge als kritisch und 104 als wichtig. Keine Sicherheitslücke steht zum Zeitpunkt der Freigabe unter aktivem Angriff, keine gilt als öffentlich bekannt.

Der Mai 2026 zeichnet sich durch hohes Patch-Volumen bei zugleich niedrigem Exploit-Druck aus. (Bild: Dall-E / Vogel IT-Medien / KI-generiert)
Der Mai 2026 zeichnet sich durch hohes Patch-Volumen bei zugleich niedrigem Exploit-Druck aus.
(Bild: Dall-E / Vogel IT-Medien / KI-generiert)

Beim MS Patchday im Mai steht Microsoft Word steht im Zentrum eines Blocks aus vier Remote-Code-Schwachstellen. Die Sicherheitslücken CVE-2026-40364, CVE-2026-40366, CVE-2026-40361 und CVE-2026-40367 haben jeweils einen CVSS-Score von 8.4 und lösen Codeausführung bereits beim Rendern eines präparierten Dokuments im Vorschaufenster aus. Zwei weitere Office-Fehler, CVE-2026-40363 und CVE-2026-40358, folgen demselben Muster bei identischem Score. SharePoint Server enthält fünf RCE-Schwachstellen mit CVSS-Werten bis 8.8, darunter CVE-2026-40365, deren Angriff jeder Benutzer mit Site-Rechten auslösen kann.

Dynamics 365 und SSO-Plugin mit kritischem Pre-Auth-Risiko

Für lokale Installationen sticht CVE-2026-42898 in Dynamics 365 mit einem CVSS-Score von 9.9 hervor. Eine Code Injection erlaubt jedem angemeldeten Anwender Codeausführung mit Scope Change, sodass der Zugriff über die verwundbare Komponente hinaus reicht. CVE-2026-41103 im SSO-Plugin für Jira und Confluence hat einen CVSS-Score von 9.1 und steht formal als Rechteausweitung, wirkt funktional aber als Authentifizierungs-Bypass, denn der Angreifer benötigt keine vorherige Anmeldung.

Cloud-Schwachstellen mit vorab wirksamem Fix

Den höchsten Score des Monats hält CVE-2026-42826 in Azure DevOps mit einem CVSS-Score von 10.0, klassifiziert als Information Disclosure. Microsoft markiert den Fix als bereits auf Server-Seite wirksam. Azure Managed Instance for Apache Cassandra erscheint mit CVE-2026-33109 bei einem CVSS-Score von 9.9 und CVE-2026-33844 bei 9.0 als Remote-Code-Ausführung.

Im Microsoft Team Events Portal kann ein Angreifer über CVE-2026-33823 mit einem CVSS-Score von 9.6 vertrauliche Daten aus dem Dienst auslesen. Azure Cloud Shell enthält mit CVE-2026-35428 bei einem CVSS-Score von 9.6 eine Spoofing-Sicherheitslücke, über die sich Identitäten oder Anzeigen innerhalb der Shell-Oberfläche fälschen lassen, was Angreifer für gezielte Täuschungen in administrativen Konsolen nutzen können. Im Enterprise Security Token Service, dem zentralen Token-Aussteller für Microsoft Entra ID, öffnet CVE-2026-40379 mit einem CVSS-Score von 9.3 einen Spoofing-Pfad in der Identitätsschicht von Microsoft 365, über den manipulierte Authentifizierungstoken in den Verkehr gebracht werden können.

Wurmfähige Code-Ausführung über das Netzwerk

Windows Netlogon enthält mit CVE-2026-41089 eine Schwachstelle bei einem CVSS-Score von 9.8. Ein Stack-basierter Pufferüberlauf öffnet sich über zugeschnittene Netzwerk-Anfragen und führt zur Codeausführung auf Domänencontrollern ohne vorherige Anmeldung oder Nutzer­interaktion. Domänencontroller mit Internet-Anbindung oder ungeschütztem Netlogon-Service zählen entsprechend zu den dringendsten Patch-Zielen.

Im Windows DNS-Client öffnet CVE-2026-41096 mit einem CVSS-Score von 9.8 einen Heap-basierten Pufferüberlauf. Der DNS-Client läuft auf nahezu jedem Windows-Endpunkt, die Angriffsoberfläche reicht entsprechend weit. Angreifer manipulieren DNS-Antworten über Man-in-the-Middle oder einen kontrollierten DNS-Server und führen Code ohne vorherige Anmeldung aus.

Den dritten Wurm-Kandidaten liefert CVE-2026-40415 im TCP/IP-Stack mit einem CVSS-Score von 8.1. Ein Use-after-free-Fehler fungiert als Ursache, benötigt jedoch hohen Speicherdruck auf dem Zielsystem als Trigger, was den realen Exploit-Pfad merklich verengt. Im gleichen Komponentenblock finden sich vier weitere TCP/IP-DoS-Sicherheitslücken sowie drei lokale Rechteausweitungen. Zwei der DoS-Pfade lassen einen Hyper-V-Gast über das angrenzende Netz den Host zum Absturz bringen.

Hyper-V, Grafik und kernelnahe Code-Ausführung

In Hyper-V hat CVE-2026-40402 einen CVSS-Score von 9.3 und erlaubt eine Rechteausweitung. Im WiFi Miniport Driver ermöglicht CVE-2026-32161 Codeausführung über einen netzwerk-benachbarten Angreifer bei einem CVSS-Score von 7.5. Die Graphics Component schließt mit CVE-2026-40403 eine RCE-Sicherheitslücke bei einem CVSS-Score von 8.8. Eine unge­wöhn­liche Variante liefert CVE-2026-34332 im Kernel-Mode Driver mit einem CVSS-Score von 8.0. Der Angriff zielt auf NVMe over Fabrics, präparierte Antwortpakete mit ungültigem Header-Längen-Wert im Handshake lösen Codeausführung aus.

Dominanz lokaler Rechteausweitungen

Den größten Anteil am Patch-Volumen stellen lokale Rechteausweitungen in Win32k, Common Log File System Driver, Cloud Files Mini Filter, DWM Core Library, Telephony Service, Print Spooler, Projected File System, AppID, AFD für WinSock und im Event Logging Service. Mehrere dieser Pfade heben einen angemeldeten Angreifer auf SYSTEM-Niveau und dienen als zweite Stufe nach initialem Zugriff über Phishing oder eine Office-Sicherheitslücke. Zwei Win32k-Fehler, CVE-2026-33840 und CVE-2026-34330, erreichen jeweils einen CVSS-Score von 7.8.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Sechs Sicherheitsfeature-Bypässe

Im Azure SDK für Java schaltet CVE-2026-33117 mit einem CVSS-Score von 9.1 den Inte­gri­täts­schutz authentifizierter Verschlüsselungs-Tags aus, manipulierte Eingaben passieren die Prüfung im Decrypt-Pfad. In Visual Studio Code öffnet CVE-2026-41109 mit einem CVSS-Score von 8.8 eine Sicherheitslücke in der Pfadprüfung der GitHub-Copilot-Anbindung, sodass der Assistent Dateien außerhalb des freigegebenen Pfad-Geltungsbereichs ändert. In Secure Boot setzt CVE-2026-41097 die Reihe der Secure-Boot-Korrekturen der Vormonate fort. Im Windows Filtering Platform öffnet CVE-2026-32209 einen Pfad für lokale Angreifer mit niedrigen Rechten, FQDN-basierte Netzregeln zu umgehen.

Telnet-Leck und mobile Spoofing-Cluster

Die im Listing kuriose Information-Disclosure-Schwachstelle CVE-2026-35423 betrifft den Telnet-Client in Windows 11. Eine Word-Sicherheitslücke gibt NTLM-Hashes preis, eine Edge-Sicherheitslücke offenbart Cookies, CVE-2026-40374 im Power Automate Desktop öffnet Inhalte aus Flows, die als sensitiv markiert sind. Im Spoofing-Spektrum stechen mehrere Android-Varianten der Office-Suite hervor, darunter Excel, Word und PowerPoint für Android mit jeweils einer Spoofing-Schwachstelle aufgrund unzureichender Zugriffsprüfung.

Fazit zum Patchday

Der Mai 2026 zeichnet sich durch hohes Patch-Volumen bei zugleich niedrigem Exploit-Druck aus. Drei wurmfähige Netzwerk-Pfade prägen die Risikospitze, allen voran CVE-2026-41089 in Netlogon und CVE-2026-41096 im DNS-Client mit jeweils einem CVSS-Score von 9.8 sowie CVE-2026-42898 in Dynamics 365 mit einem CVSS-Score von 9.9. Der höchste CVSS-Score des Monats fällt mit 10.0 auf CVE-2026-42826 in Azure DevOps, dessen Fix Microsoft serverseitig schon vor dem Release wirksam gemacht hat. Office-Vorschaufenster-RCEs in Word und Office bleiben mit jeweils einem CVSS-Score von 8.4 und sechs Einträgen ein wiederkehrender Schwerpunkt. Die Rechteausweitung CVE-2026-40402 in Hyper-V bei einem CVSS-Score von 9.3 sowie die Kernel-Mode-RCE über NVMe over Fabrics mitder Kennung CVE-2026-34332 bei einem CVSS-Score von 8.0 erweitern das Spektrum kernelnaher Angriffspfade. Der Mai-Patchday fällt in das Vorfeld der Pwn2Own Berlin, wodurch in den Folgemonaten zusätzliche Nachträge wahrscheinlich werden.

Ihre Meinung zu den Patchday-News ist gefragt!

Seit vielen Jahren veröffentlichen wir regelmäßig Meldungen zum Microsoft Patchday. Wir würden gerne von Ihnen wissen, wie wir die Meldungen noch nützlicher für Ihre tägliche Arbeit machen können. Welche Infos wünschen Sie sich zusätzlich, was können wir über­sichtlicher machen, was weglassen? Schreiben Sie uns eine E-Mail! Wir lesen jede Zuschrift, versprochen!

(ID:50828776)

Weiterführende Inhalte