Rekord-Patchday: Microsoft stopft über 200 Lücken – darunter eine wurmfähige Kernel-Schwachstelle

Mit dem Juni-Patchday hat Microsoft am 9. Juni 2026 den umfangreichsten Sicherheits-Sammelpatch seit Bestehen des Programms ausgeliefert. Je nach Zählweise schließen die Updates rund 200 bis 208 Schwachstellen – ein neuer Rekord. Mehrere davon sind als kritisch eingestuft, und mindestens eine verdient besondere Aufmerksamkeit.

Newsletter

Klartext ins Postfach

KI, Security & Crypto – die wichtigsten Analysen, kein Spam. Jederzeit abbestellbar.

E-Mail-Adresse *

Vorname

Nachname

CVE-2026-45657: Wurm-Potenzial im Windows-Kernel

Im Zentrum steht CVE-2026-45657, eine Use-after-free-Schwachstelle im Windows-Kernel, die in der Verarbeitung von TCP/IP-Datenverkehr wurzelt. Die Lücke trägt einen CVSS-Basiswert von 9,8 – praktisch das Maximum für eine über das Netzwerk erreichbare Schwachstelle.

Was sie so gefährlich macht, ist die Kombination ihrer Eigenschaften: Sie benötigt keine Authentifizierung, keine Nutzerinteraktion und lässt sich aus der Ferne durch speziell präparierte TCP/IP-Pakete auslösen. Gelingt die Ausnutzung, führt der Angreifer Code mit SYSTEM-Rechten aus – also der höchsten Berechtigungsstufe unter Windows.

Sicherheitsforscher der Zero Day Initiative weisen darauf hin, dass das Profil der Lücke eine selbstständige Ausbreitung über Netzwerke ermöglicht – ähnlich wie bei EternalBlue, der Schwachstelle hinter der WannaCry-Welle von 2017. Genau diese “Wurmfähigkeit” macht zeitnahes Patchen so dringend.

Betroffene Systeme

Laut den Advisories betrifft CVE-2026-45657 Windows 11 in den Versionen 23H2 bis 26H1 auf x64- und ARM64-Architekturen sowie Windows Server 2022 und Server 2025, einschließlich der Server-Core-Installationen. Mehrere Forscher rechnen damit, dass die Zeitspanne zwischen Patch-Veröffentlichung und einem funktionierenden öffentlichen Exploit eher in Tagen als in Wochen zu messen ist.

Mehrere Zero-Days bereits aktiv ausgenutzt

Neben der Kernel-Lücke adressiert der Patchday auch Schwachstellen, die bereits aktiv angegriffen wurden. Dazu zählt CVE-2026-47281 (“RoguePlanet”, CVSS 9,6), eine Rechteausweitung im Umfeld von Microsoft Defender und Visual Studio Code, die SYSTEM-Zugriff verschafft. Auch eine Cross-Site-Scripting-Lücke in der Outlook-Web-Access-Komponente von Microsoft Exchange (CVE-2026-42897) wurde laut Berichten aktiv ausgenutzt, bevor der Juni-Patchday den ersten dauerhaften Fix lieferte.

Was Admins und Nutzer jetzt tun sollten

Angesichts des Wurm-Potenzials von CVE-2026-45657 gilt: Updates priorisieren und nicht aufschieben. Wer Windows-Server oder große Client-Flotten betreibt, sollte die Juni-Updates schnellstmöglich verteilen. Wo ein sofortiges Patchen nicht möglich ist, helfen Netzwerksegmentierung und das Einschränken nicht benötigter, aus dem Internet erreichbarer Dienste, die Angriffsfläche zu verkleinern.

Privatanwender sind in der Regel gut bedient, wenn sie die automatischen Windows-Updates aktiviert lassen und einen Neustart nicht unnötig hinauszögern. Gerade bei aus dem Netz erreichbaren Schwachstellen ist jeder Tag ohne Patch ein Tag mit erhöhtem Risiko.

Fazit

Der Juni-2026-Patchday ist nicht nur wegen seiner Rekordgröße bemerkenswert, sondern vor allem wegen der Qualität einzelner Lücken. Eine ohne Anmeldung ausnutzbare, potenziell wurmfähige Kernel-Schwachstelle ist genau das Szenario, das in der Vergangenheit zu großen Schadenswellen geführt hat. Schnelles Handeln ist daher die beste Versicherung.

Quellen

• BleepingComputer: Microsoft June 2026 Patch Tuesday fixes 6 zero-days, 200 flaws
• Zero Day Initiative: The June 2026 Security Update Review
• Microsoft Security Response Center: CVE-2026-45657
• Tenable: CVE-2026-45657
• Security Affairs: Record-Breaking Patch Tuesday With 208 CVEs