Microsoft April 2026 Patch Tuesday: Wichtige Sicherheitsinformationen

SharePoint-Server-Administratoren stehen vor einer dringenden Frist für Patches, da eine der Schwachstellen in Microsofts April 2026 Patch Tuesday-Veröffentlichung bereits aktiv ausgenutzt wird. Die Spoofing-Schwachstelle ist eine von 167 Schwachstellen, die mit dem Update behoben wurden, das am 14. April für Windows, Office, SharePoint und andere Produkte veröffentlicht wurde.

Überblick über den Patch Tuesday im April 2026

Diese Veröffentlichung stellt das zweitgrößte monatliche Update in der Geschichte von Microsoft dar. Von den 167 behobenen Schwachstellen:

• Acht haben die höchste Schweregradbewertung.
• Sieben werden als Remote-Code-Ausführungs-Schwachstellen eingestuft.
• Eine ist eine Denial-of-Service-Schwachstelle.

Darunter wurden zwei Zero-Days offengelegt, von denen einer vor dem Patchen aktiv ausgenutzt wurde.

Aktiv ausgenutztes SharePoint Zero-Day (CVE-2026-32201)

CVE-2026-32201, eine Spoofing-Schwachstelle in Microsoft SharePoint Server, ist das aktiv ausgenutzte Zero-Day, das in diesem Update behoben wurde. Laut Microsofts Beratung beruht diese Schwachstelle auf einer Schwäche in der Eingabevalidierung, die es nicht authentifizierten Angreifern ermöglicht, netzwerkbasierte Spoofing-Angriffe durchzuführen. Eine erfolgreiche Ausnutzung gewährt Angreifern Lese- und Schreibzugriff auf sensible Daten, während die Systemverfügbarkeit unbeeinträchtigt bleibt.

Wichtige Details:

• Jede über das Netzwerk erreichbare SharePoint-Server-Instanz ist ein potenzielles Ziel, da keine Authentifizierung erforderlich ist.
• Microsoft hat weder die Ausnutzungsmethodik noch die Identität des Entdeckers der Schwachstelle offengelegt.

SharePoint Server war ein wiederkehrendes Ziel für hochentwickelte Bedrohungsakteure. Beispielsweise wurde ein separates Zero-Day (CVE-2025-53770) mit Ransomware-Angriffen auf Regierungsbehörden im Juli 2025 in Verbindung gebracht. Die tiefe Integration von SharePoint mit Active Directory und der Unternehmensdatenablage macht es zu einem wertvollen Ziel für Angreifer, die sich seitlich im Netzwerk bewegen möchten.

Strukturelle Herausforderungen bei lokalen SharePoint-Bereitstellungen

Die Ausnutzung von zwei SharePoint-Zero-Days innerhalb von neun Monaten hebt eine strukturelle Schwachstelle in lokalen Bereitstellungen hervor. Organisationen, die noch nicht zu SharePoint Online migriert sind, stehen unter steigendem Druck, dies zu tun, da die cloudbasierte Version von folgenden Vorteilen profitiert:

• Automatische Patches ohne Eingreifen des Administrators.
• Zusätzliche Schutzschichten auf Netzwerkebene, die bei selbst gehosteten Bereitstellungen fehlen.

Administratoren, die das Update nicht sofort anwenden können, sollten:

1. Die Netzwerksegmentierung rund um SharePoint-Endpunkte überprüfen.
2. Zugriffsprotokolle auf Anzeichen von Aktivitäten vor der Patch-Installation überprüfen.

Zweites Zero-Day: Microsoft Defender-Schwachstelle (CVE-2026-33825)

CVE-2026-33825, das zweite im April behobene Zero-Day, ist eine Rechteerweiterungsschwachstelle in der Microsoft Defender Antimalware-Plattform. Obwohl sie vor dem Patchen öffentlich bekannt gemacht wurde, gibt es keine Berichte über aktive Ausnutzung. Eine erfolgreiche Ausnutzung könnte Berechtigungen auf SYSTEM-Ebene eskalieren und Angreifern vollständige Kontrolle über das betroffene System gewähren.

Wichtige Details:

• Die standardmäßig erhöhten Berechtigungen von Defender machen diese Schwachstelle besonders gefährlich, da Angreifer Sicherheitsvorkehrungen vollständig deaktivieren könnten.
• Sicherheitsforscher Zen Dodd und Yuanpei XU identifizierten die Schwachstelle mithilfe des Diffract-Fuzzing-Tools.
• Der Fix wurde über die Defender Antimalware-Plattform-Update-Version 4.18.26050.3011 ausgeliefert, die automatisch auf Systeme mit Windows Defender heruntergeladen wird.

Administratoren müssen keine manuellen Maßnahmen ergreifen, es sei denn:

• Automatische Defender-Updates wurden deaktiviert.
• Drittanbieter-Antiviruslösungen, die Defender ersetzen, werden verwendet und erfordern eine manuelle Überprüfung des Updates.

Unterschiedliche Risikoprofile bei der Patch-Bereitstellung

Microsoft Defender-Updates erreichen Endpunkte innerhalb von Stunden durch stille automatische Bereitstellung. Im Gegensatz dazu erfordern SharePoint-Server-Patches manuelle Tests und geplante Bereitstellungen, was zwei unterschiedliche Risikoprofile schafft:

• Defender-Fixes werden in Stunden der Exposition gemessen.
• SharePoint-Server-Patches können Tage oder Wochen für die Bereitstellung benötigen.

Aufschlüsselung der April 2026-Schwachstellen

Nach Kategorie umfassen die 167 Schwachstellen:

• 93 Rechteerweiterungen
• 20 Remote-Code-Ausführungen
• 21 Informationsoffenlegungen
• 13 Umgehungen von Sicherheitsfunktionen
• 10 Denial-of-Service
• 9 Spoofing

Rechteerweiterungsschwachstellen machen mehr als die Hälfte der Gesamtzahl aus.

Unternehmensrisiken über SharePoint hinaus

Abgesehen von den beiden Zero-Days hat Microsoft mehrere Remote-Code-Ausführungs-Bugs in Office behoben. Angreifer können diese ausnutzen, indem sie ein Opfer dazu bringen, ein bösartiges Dokument in der Vorschau anzuzeigen. Es ist keine weitere Interaktion erforderlich, außer die Datei im Vorschaufenster von Outlook zu betrachten, was diese Schwachstellen in Unternehmensumgebungen besonders gefährlich macht.

Mögliche Bedrohungsvektoren umfassen:

• Erstellte Word- oder Excel-Dateien, die beim Vorschau anzeigen beliebigen Code ausführen können.
• Schwachstellen im Remote Desktop Client, die als Brückenkopf in Unternehmensnetzwerke dienen könnten.

Zusätzliche Informationen

Die Patch Tuesday-Zählung schließt keine Fixes für Mariner, Azure und Bing ein, die Anfang April adressiert wurden, sowie 80 Microsoft Edge- und Chromium-Schwachstellen, die von Google gepatcht wurden. Unter Einbeziehung aller Microsoft-bezogenen Updates ist der Gesamtumfang für April 2026 deutlich größer als 167 Schwachstellen.

Windows 11-Benutzer erhalten das kumulative Update als KB5083769, das auch Funktionsupdates wie:

• Ein Smart App Control-Toggle.
• Erzähler-Integration mit Copilot.
• Unterstützung für Bildwiederholraten über 1000 Hz.

Windows 10-Benutzer im Extended Security Update-Programm erhalten ein separates kumulatives Update, KB5082200. Diese Patches beheben dieselben Schwachstellen, gelten jedoch nur für Organisationen, die am kostenpflichtigen ESU-Programm teilnehmen, was zusätzlichen Kostendruck für diejenigen bedeutet, die Windows 10 nach seinem End-of-Support-Datum im Oktober 2025 weiterhin verwenden.

Fazit

Die 167 Schwachstellen im April stellen die größte monatliche Gesamtzahl des Jahres 2026 dar und verdreifachen fast die Anzahl im Februar. Angreifer entdecken und nutzen Schwachstellen schneller aus, oft bevor Patches verfügbar sind. Dieser Trend unterstreicht die Notwendigkeit von automatisierter Patch-Bereitstellung, wo immer möglich, und hebt die zunehmende operative Belastung für IT-Administratoren hervor, die hybride Infrastrukturen verwalten.

Für lokale SharePoint-Bereitstellungen bedeutet jeder Tag zwischen jetzt und dem erfolgreichen Patchen ein kritisches Zeitfenster der Exposition. Organisationen, die der CISA-Richtlinie "Binding Operational Directive 22-01" unterliegen, sollten damit rechnen, dass die aktiv ausgenutzte SharePoint-Schwachstelle in den Katalog der bekannten ausgenutzten Schwachstellen (KEV) aufgenommen wird, was eine obligatorische Behebungsfrist für betroffene Entitäten festlegt.

Quelle: Microsoft Security Response Center (MSRC)