Die höchste Bewertung in diesem Monat erhielt eine kritische Lücke zur entfernten Codeausführung im Microsoft Devices Pricing Program. CVE-2026-21536 erreicht einen CVSS-Wert von 9,8, ist nach Angaben von Microsoft jedoch bereits vollständig entschärft, sodass Nutzer nichts unternehmen müssen. Entdeckt und gemeldet wurde die Schwachstelle von der KI-gestützten Plattform XBOW zur autonomen Schwachstellensuche.
Laut Satnam Narang, Senior Staff Research Engineer bei Tenable, entfielen in diesem Monat über die Hälfte aller Patchday-CVEs (55 Prozent) auf Lücken zur Rechteausweitung. Sechs davon stuft Microsoft als “Ausnutzung wahrscheinlicher” ein, verteilt auf Windows Graphics Component, Windows Accessibility Infrastructure, Windows Kernel, Windows SMB Server und Winlogon. Solche Fehler würden von Angreifern typischerweise nach einer ersten Kompromittierung genutzt, wenn sie etwa über Social Engineering oder eine andere Schwachstelle bereits auf ein System gelangt seien.
Besonders hervorgehoben wird die Winlogon-Lücke CVE-2026-25187 (CVSS-Wert 7,8), die über eine fehlerhafte Auflösung von Verknüpfungen SYSTEM-Rechte verschafft. Gemeldet wurde sie von James Forshaw von Google Project Zero. Jacob Ashdown, Cybersicherheitsingenieur bei Immersive, erklärt, ein lokal authentifizierter Angreifer mit geringen Rechten könne eine Bedingung zur Verknüpfungsverfolgung im Winlogon-Prozess ausnutzen und sich zu SYSTEM-Rechten hochstufen. Die Schwachstelle erfordere keine Nutzerinteraktion und habe eine geringe Angriffskomplexität, was sie zu einem leichten Ziel mache, sobald ein Angreifer Fuß gefasst habe.
Bemerkenswert ist zudem CVE-2026-26118 (CVSS-Wert 8,8), eine Server-Side-Request-Forgery-Lücke im Azure-Server für das Model Context Protocol (MCP). Laut Microsoft kann ein Angreifer speziell präparierte Eingaben an ein MCP-Server-Tool senden, das nutzerseitige Parameter akzeptiert. Statt einer normalen Azure-Ressourcenkennung lasse sich eine bösartige URL einschleusen; der MCP-Server sende daraufhin eine ausgehende Anfrage an diese URL und übermittle dabei womöglich sein Managed-Identity-Token. So könne ein Angreifer das Token ohne Administratorrechte abgreifen und anschließend auf alle Ressourcen zugreifen, für die diese verwaltete Identität berechtigt ist.
Unter den kritischen Fehlern befindet sich außerdem eine Schwachstelle zur Offenlegung von Informationen in Excel. CVE-2026-26144 (CVSS-Wert 7,5) wird als Cross-Site-Scripting infolge unzureichender Neutralisierung von Eingaben bei der Erzeugung von Webseiten beschrieben. Nach Angaben von Microsoft könnte ein Angreifer den Copilot-Agentenmodus dazu bringen, im Rahmen eines Zero-Click-Angriffs Daten zu exfiltrieren. Alex Vovk, CEO und Mitgründer von Action1, weist darauf hin, dass solche Lücken in Unternehmensumgebungen besonders gefährlich seien, da Excel-Dateien häufig Finanzdaten, geistiges Eigentum oder Betriebsunterlagen enthielten und automatisierte Agenten sensible Daten unbeabsichtigt nach außen übertragen könnten.
Parallel zum Patchday kündigte Microsoft an, das Standardverhalten von Windows Autopatch zu ändern und Hotpatch-Sicherheitsupdates standardmäßig zu aktivieren. Die Umstellung gilt nach Angaben des Unternehmens ab dem Windows-Sicherheitsupdate vom Mai 2026 für alle geeigneten Geräte in Microsoft Intune sowie für jene, die den Dienst über die Microsoft Graph API nutzen. Sicherheitskorrekturen ohne Neustart sollen Organisationen in der halben Zeit zu 90 Prozent Konformität verhelfen.