Microsoft behebt 120 Schwachstellen im Mai-Update 2026

Am 12. Mai veröffentlichte Microsoft Fixes für 120 Schwachstellen, ohne jedoch Zero-Day-Exploits offenzulegen. Dennoch müssen Unternehmensverteidiger eine Vielzahl von Risiken angehen, darunter solche, die Dokumentenverarbeitung, Identitätsinfrastrukturen, Kollaborationsplattformen, Virtualisierungsumgebungen und Standard-Windows-Netzwerke betreffen.

Wichtige Highlights des Sicherheits-Pakets im Mai

Das Patch-Tuesday-Update im Mai 2026 umfasste 17 kritische Schwachstellen, von denen 14 Remote-Code-Ausführungsfehler (RCE) waren. Organisationen müssen schnell handeln, um diese Updates in ihren Systemen zu bewerten und bereitzustellen. Patch-Manager stehen vor der kritischen Herausforderung, zu bestimmen, welche Geschäftssysteme die Updates der ersten Welle aufnehmen können, ohne anderswo Ausfälle zu verursachen.

Komplexität bei der Unternehmens-Patch-Verwaltung

Patch-Teams in Unternehmen stehen vor einem vielschichtigen „Patch-Reihenfolge-Problem“, da die Updates dieses Monats verschiedene Systeme umfassen, darunter:

• Office-Endpunkte
• Domänencontroller
• DNS-abhängige Windows-Systeme
• SharePoint-Implementierungen
• Hyper-V-Hosts

Jedes dieser Systeme wird oft von unterschiedlichen Teams verwaltet, die eigene Patch-Zeitpläne, Rücksetzverfahren und Wartungsfenster haben. Selbst wenn eine Microsoft-Veröffentlichung all diese Bereiche abdeckt, bleibt die Koordination der Updates eine operative Herausforderung.

Vergleich mit jüngsten Patch-Zyklen

In den vergangenen Monaten:

• Im Februar wurden sechs aktive Zero-Days behoben.
• Im April wurden 167 Schwachstellen behandelt, darunter zwei Zero-Days.

Obwohl im Mai 2026 keine Zero-Days gemeldet wurden, verringert dies nicht die Arbeitsbelastung der Verteidiger. Jedes der letzten Updates erforderte Kompromisse zwischen der Geschwindigkeit der Notfallbereitstellung, dem Risiko von Ausfällen und der Verifizierungszeit für kritische Systeme, was die kumulative Priorisierungsbelastung erhöht hat.

Aufschlüsselung der Schwachstellen im Mai 2026

Die Veröffentlichung von Microsoft im Mai umfasste folgende Punkte:

• 31 Remote-Code-Ausführungs-Schwachstellen
• 61 Rechteerweiterungs-Probleme (EoP)
• 14 Schwachstellen zur Informationsoffenlegung
• 8 Denial-of-Service-Schwachstellen (DoS)
• 6 Probleme beim Umgehen von Sicherheitsfunktionen
• 13 Spoofing-Schwachstellen

Unter diesen bleiben RCE-Schwachstellen eine Priorität, da sie Angreifern die Ausführung beliebigen Codes ermöglichen, während EoP-Schwachstellen die Betriebskomplexität erhöhen, indem sie Berechtigungen, Administratorgrenzen und Benutzer-System-Übergänge betreffen. Sicherheitsteams müssen diese Schwachstellen validieren und beheben, bevor sie vom Pilotversuch zur breiten Bereitstellung übergehen.

Keine Zero-Days im Mai: Eine seltene Erscheinung

Der Mai 2026 markiert das erste monatliche Sicherheitsupdate von Microsoft seit fast zwei Jahren, das keine ausgenutzten oder öffentlich bekannt gewordenen Zero-Day-Schwachstellen enthält. In den letzten 22 Monaten hat Microsoft durchschnittlich 3,5 Zero-Days pro Monat gemeldet, was diesen Monat ruhiger, aber nicht unbedingt einfacher in Bezug auf die Behebung macht.

Office-Schwachstellen: Ein anhaltendes Problem

Trotz des Fehlens von Zero-Days bleiben Office-bezogene Schwachstellen ein großes Anliegen. Microsoft hat Schwachstellen in Office, Word und Excel behoben, die zu RCE führen könnten, wobei einige mit Risiken durch die Vorschau-Funktion verbunden sind. Da Mitarbeiter häufig Dokumente wie Rechnungen, Lebensläufe und freigegebene Dateien in der Vorschau anzeigen, erfordern diese Schwachstellen eine breitere Patch-Bemühung über einzelne Anwendungsupdates hinaus.

Zusätzlich umfasst das Mai-Update CVE-2026-35421, eine Schwachstelle in Paint, bei der das Öffnen einer schädlichen Enhanced Metafile zur Codeausführung führen könnte. Endpoint-Teams müssen auch Korrekturen wie CVE-2026-40367, CVE-2026-40366 und CVE-2026-40364 priorisieren, die Laptops, gemeinsam genutzte Arbeitsstationen und virtuelle Desktops betreffen.

Risiken auf Infrastrukturebene

Mehrere Schwachstellen im Mai-Update stellen erhebliche Risiken für die Unternehmensinfrastruktur dar:

• CVE-2026-41096: Eine heap-basierte Pufferüberlauf-Schwachstelle im Windows-DNS-Client mit einem CVSS-Score von 9,8. Dieser RCE-Fehler kann remote ohne Authentifizierung oder Benutzerinteraktion ausgenutzt werden und betrifft eine Vielzahl von Windows-Systemen.
• CVE-2026-41089: Ein kritisches Problem in Windows Netlogon mit einem CVSS-Score von 9,8, das es nicht authentifizierten Angreifern ermöglicht, Code remote auf Domänencontrollern auszuführen. Angesichts des Potenzials für Authentifizierungsfehler erfordert das Patchen von Domänencontrollern besondere Vorsicht, um Unterbrechungen des Zugriffs auf geschäftskritische Dienste zu vermeiden.

SharePoint- und Hyper-V-Bedenken

SharePoint-Schwachstellen bleiben ein Problem für Unternehmenssicherheitsteams. CVE-2026-40365 setzt SharePoint-Server RCE-Angriffen aus, erfordert jedoch Site-Owner-Berechtigungen. Obwohl dies den Angreiferpool einschränkt, müssen Verteidiger die Exposition privilegierter Benutzer, externe Veröffentlichungen und die Kollaborationsausbreitung bewerten, um Risiken zu mindern.

In virtualisierten Umgebungen stellt CVE-2026-40402 in Hyper-V ein schwerwiegendes Risiko dar, da Angreifer von einer Gast-VM zur Host-Umgebung entkommen und SYSTEM-Berechtigungen erlangen können. Diese Art von Grenzverletzung betrifft mehrere Workloads gleichzeitig und erfordert sofortige Aufmerksamkeit von Virtualisierungsteams.

Betriebliche Auswirkungen des Mai-Updates 2026

Das Mai-Update zwingt Teams, die Office-Endpunkte, DNS-bezogene Windows-Systeme, Domänencontroller, SharePoint-Server und Hyper-V-Hosts verwalten, zu einem einheitlichen Wartungsfenster. Trotz des Fehlens von Zero-Days machen der Umfang und die Komplexität der Schwachstellen dieses Monats es für Unternehmen betrieblich anspruchsvoll, diese zu adressieren.