137 Schwachstellen — und zwei davon treffen den Mittelstand ins Mark
Am 12. Mai 2026 hat Microsoft eines der umfangreichsten Update-Pakete der letzten Jahre veröffentlicht: 137 Schwachstellen, davon 30 als kritisch eingestuft. Vier davon sind wurmfähige Remote-Code-Execution-Lücken mit einem CVSS-Score von 9,8 — dem Maximum auf der Schweregradskala.
Das Besondere: Erstmals seit Juni 2024 ist kein aktiv ausgenutzter Zero-Day dabei. Das klingt nach Entwarnung — ist es aber nicht. Denn zwei der kritischsten Schwachstellen betreffen Dienste, die in praktisch jedem Unternehmensnetzwerk laufen: Netlogon und den DNS-Client.
CVE-2026-41089: Netlogon — Ihr Domain Controller ist das Ziel
Die Schwachstelle CVE-2026-41089 im Netlogon-Protokoll erlaubt es einem Angreifer, ohne Authentifizierung und ohne Benutzerinteraktion die Kontrolle über einen Domain Controller zu übernehmen. CVSS-Score: 9,8.
Für Unternehmen, die auf Active Directory setzen — und das sind im DACH-Raum praktisch alle mit mehr als 20 Arbeitsplätzen — ist das eine direkte Bedrohung der gesamten IT-Infrastruktur. Wer den Domain Controller kontrolliert, kontrolliert alle Benutzerkonten, Gruppenrichtlinien und Netzwerkressourcen.
Dass derzeit kein aktiver Exploit bekannt ist, bedeutet wenig: Bei Netlogon-Schwachstellen wie Zerologon (2020) dauerte es nur Tage bis zur ersten Ausnutzung in freier Wildbahn.
CVE-2026-41096: DNS-Client — Angriff über die Namensauflösung
Die zweite kritische Lücke (CVSS 9,8) steckt im Windows DNS-Client. Ein Angreifer kann über manipulierte DNS-Antworten beliebigen Code auf dem Zielsystem ausführen — ebenfalls ohne Authentifizierung. Da DNS in jedem Netzwerk aktiv ist, vergrößert das die Angriffsfläche erheblich.
Beide Schwachstellen zusammen bilden eine gefährliche Kombination: Sie treffen genau dort, wo Authentifizierung und Namensauflösung zusammenlaufen — das Rückgrat jeder Windows-Domäne.
Microsoft Word: Codeausführung durch die Vorschau
Zusätzlich schließt das Mai-Update vier Remote-Code-Execution-Schwachstellen in Microsoft Word (CVE-2026-40364, CVE-2026-40366, CVE-2026-40361 und CVE-2026-40367). Jeweils CVSS 8,4. Das Tückische: Die Codeausführung wird bereits beim Rendern eines Dokuments im Vorschaufenster ausgelöst — ein Klick auf eine präparierte Datei im Explorer reicht.
Für den Arbeitsalltag bedeutet das: Jede E-Mail mit Word-Anhang wird zum potenziellen Angriffsvektor, noch bevor die Datei bewusst geöffnet wird.
Was Unternehmen jetzt tun sollten
1. Domain Controller sofort patchen. CVE-2026-41089 ist die höchste Priorität. Jeder ungepatchte DC ist ein offenes Tor ins Netzwerk.
2. DNS-Client-Update auf allen Windows-Systemen einspielen. Das betrifft Server und Arbeitsplätze gleichermaßen.
3. Office-Updates nicht aufschieben. Die Word-Schwachstellen lassen sich über E-Mail-Anhänge ausnutzen — ein klassischer Angriffsweg bei gezielten Attacken auf den Mittelstand.
4. Netzwerk-Segmentierung prüfen. Selbst wenn ein System kompromittiert wird: Wer sein Netz sauber segmentiert hat, begrenzt den Schaden. Professionelle Sicherheitsanalysen decken Schwachstellen in der Netzwerkarchitektur auf, bevor Angreifer sie finden.
5. Monitoring und Incident Response vorbereiten. Patches schließen bekannte Lücken. Unbekannte bleiben. Ein funktionierendes Security-Monitoring erkennt verdächtige Aktivitäten auch dann, wenn der Patch noch aussteht.
Fazit: Patchen ist Pflicht — aber nicht genug
Der Patchday Mai 2026 zeigt einmal mehr: Regelmäßiges Patchen ist die absolute Basis, aber allein nicht ausreichend. Unternehmen brauchen ein durchdachtes Sicherheitskonzept, das Schwachstellenmanagement, Netzwerksegmentierung und Incident Response verbindet.
Die gute Nachricht: Noch ist kein aktiver Exploit bekannt. Die schlechte: Das Zeitfenster zum Handeln schließt sich erfahrungsgemäß schnell.
Sie wollen wissen, ob Ihre Infrastruktur verwundbar ist? Sprechen Sie mit uns — AntiLeaks unterstützt Unternehmen im DACH-Raum bei der Absicherung ihrer IT-Infrastruktur. Von der Schwachstellenanalyse bis zum Incident Response.