CISA hat CVE-2025-60710 am Freitag erneut in seinem Katalog der bekannt ausgenutzten Schwachstellen, dem Known Exploited Vulnerabilities Catalog (KEV), aktualisiert. Dabei kennzeichnete die Behörde die Lücke ausdrücklich als Schwachstelle, die von Ransomware-Gruppen missbraucht wird.

Die Sicherheitslücke betrifft den Windows Task Host, eine Kernkomponente des Betriebssystems. Laut Quelltext erlaubt sie die Ausführung eines Angriffs zur Rechteausweitung und geht auf eine Schwäche bei der Verfolgung von Verknüpfungen zurück. Nach erfolgreicher Ausnutzung können lokale Angreifer mit grundlegenden Benutzerrechten SYSTEM-Berechtigungen erlangen und ungepatchte Systeme vollständig übernehmen.

Microsoft hatte die Lücke, die unter CVE-2025-60710 geführt wird, im November 2025 behoben. Betroffen sind Windows 11 und Windows Server 2025. Obwohl Microsoft seinen Sicherheitshinweis laut Quelltext noch nicht angepasst hatte, um eine Ausnutzung unter realen Bedingungen zu bestätigen, setzte CISA die Schwachstelle bereits am 13. April auf die Liste aktiv ausgenutzter Lücken.

Zugleich gab die Behörde den Federal Civilian Executive Branch (FCEB)-Behörden zwei Wochen Zeit, ihre Systeme abzusichern. CISA machte keine näheren Angaben zu den laufenden Angriffen auf CVE-2025-60710. Auch ein Sprecher von Microsoft stand für eine Stellungnahme gegenüber BleepingComputer zunächst nicht zur Verfügung.

CISA warnte, diese Art von Schwachstelle sei ein häufiger Angriffsvektor bösartiger Cyberakteure und berge erhebliche Risiken für die föderale IT-Landschaft. Die Behörde riet dazu, Gegenmaßnahmen nach den Anweisungen des Herstellers umzusetzen, die anwendbaren Vorgaben aus BOD 22-01 für Cloud-Dienste zu befolgen oder das Produkt nicht weiter zu nutzen, falls keine Gegenmaßnahmen verfügbar sind.

Erst eine Woche zuvor hatte CISA zudem davor gewarnt, dass Ransomware-Gruppen eine Schwachstelle zur Remotecodeausführung in Microsoft SharePoint mit der Kennung CVE-2026-45659 ausnutzen. Diese Warnung erfolgte, nachdem die Behörde Anfang Juli eine aktive Ausnutzung bestätigt hatte.

Seit November 2021 hat CISA nach eigenen Angaben 383 aktiv ausgenutzte Schwachstellen in verschiedenen Microsoft-Produkten markiert. 112 davon wurden demnach auch bei Ransomware-Angriffen eingesetzt.