Über 130 Schwachstellen – und zwei davon haben es in sich
Microsofts Patch Tuesday im Mai 2026 ist einer der umfangreichsten der letzten Jahre: Über 130 Sicherheitslücken wurden geschlossen, verteilt auf Windows, Office, Azure, SharePoint, .NET und zahlreiche weitere Komponenten. 30 davon sind als kritisch eingestuft, 29 betreffen Remote Code Execution (RCE) – also die Möglichkeit, aus der Ferne Schadcode auszuführen.
Für Unternehmen im Mittelstand ist das kein abstraktes Risiko. Zwei Schwachstellen stechen besonders hervor, weil sie zentrale Infrastruktur-Komponenten betreffen, die in praktisch jeder Windows-Umgebung laufen.
CVE-2026-41096: Windows DNS Client – Angriff ohne Authentifizierung
Der Windows DNS Client ist auf jedem Windows-Rechner aktiv. Die Schwachstelle CVE-2026-41096 erlaubt es Angreifern, über manipulierte DNS-Antworten ohne jede Authentifizierung Schadcode auszuführen. Kein Benutzerklick nötig, keine Interaktion erforderlich.
Ein Angreifer, der sich in eine Man-in-the-Middle-Position bringen kann – etwa in einem öffentlichen WLAN oder über einen kompromittierten Router – könnte damit beliebige Systeme im Netzwerk übernehmen. Die Angriffsfläche ist enorm: Jeder Windows-Client und -Server ist potenziell betroffen.
CVE-2026-41089: Netlogon RCE – Domänen-Infrastruktur im Visier
Die zweite kritische Schwachstelle betrifft den Netlogon-Dienst – das Herzstück der Windows-Domänenauthentifizierung. CVE-2026-41089 ermöglicht Remote Code Execution im Netlogon-Stack. Wer sich an die Zerologon-Schwachstelle von 2020 erinnert, weiß: Netlogon-Lücken gehören zu den gefährlichsten überhaupt, weil sie direkten Zugriff auf Active Directory ermöglichen können.
Für KMU mit Windows-Domänenumgebung – und das ist die überwiegende Mehrheit – bedeutet das: Sofort patchen, keine Ausnahmen.
Weitere kritische Schwachstellen im Überblick
Neben DNS und Netlogon gibt es weitere hochkritische Lücken, die Unternehmen betreffen:
- Azure DevOps (CVE-2026-42826): CVSS 10.0 – Information Disclosure ohne Authentifizierung. Wer Azure DevOps nutzt, sollte die Cloud-Updates prüfen.
- Microsoft Dynamics 365 (CVE-2026-42898): CVSS 9.9 – RCE in der On-Premises-Version.
- Microsoft Office und Word: Mehrere RCE-Schwachstellen, die über präparierte Dokumente ausgenutzt werden können – klassische Phishing-Vektoren.
- SharePoint Server: RCE-Lücken, relevant für alle Unternehmen mit lokaler SharePoint-Installation.
- Windows Wi-Fi Miniport-Treiber: RCE über WLAN – besonders kritisch für mobile Mitarbeiter.
Was Unternehmen jetzt tun sollten
Die gute Nachricht: Keine der Schwachstellen wird laut Microsoft aktuell aktiv ausgenutzt. Das kann sich erfahrungsgemäß aber schnell ändern – oft vergehen nur wenige Tage zwischen Patch-Veröffentlichung und den ersten Exploit-Versuchen.
Unsere Empfehlung:
- Patches sofort einspielen – mindestens für DNS Client, Netlogon und die Office-Komponenten. Testet in einer Staging-Umgebung, aber wartet nicht wochenlang.
- Netzwerk-Segmentierung prüfen – können Angreifer von einem kompromittierten Client aus direkt auf Domain Controller zugreifen?
- Phishing-Awareness schärfen – die Office-RCE-Lücken werden über Dokumente ausgenutzt. Sensibilisiert eure Mitarbeiter.
- Monitoring aktivieren – überwacht DNS-Traffic und Netlogon-Aktivitäten auf Anomalien.
Fazit: Kein Monat zum Abwarten
Der Mai 2026 Patch Tuesday zeigt einmal mehr, warum konsequentes Patch-Management keine Option, sondern Pflicht ist. DNS und Netlogon sind fundamentale Dienste – Schwachstellen dort betreffen jedes Unternehmen mit Windows-Infrastruktur.
Wer sein Patch-Management nicht im Griff hat oder unsicher ist, ob die eigene IT-Infrastruktur verwundbar ist: Sprechen Sie uns an. AntiLeaks unterstützt Unternehmen im DACH-Raum bei der Schwachstellenanalyse, beim Aufbau sicherer Prozesse und bei der Absicherung gegen genau solche Bedrohungen.