Der monatliche Patch Tuesday von Microsoft ist immer ein Pflichttermin für IT-Verantwortliche – aber der Juni 2026 sticht besonders heraus. Am 9. Juni hat Microsoft 198 Sicherheitslücken geschlossen, darunter drei Zero-Days, die bereits aktiv von Angreifern ausgenutzt werden. Für Unternehmen im DACH-Raum gilt: Wer noch nicht gepatcht hat, sollte das sofort nachholen.
Was wurde gepatcht?
198 Schwachstellen in einem einzigen Monat ist selbst für Microsoft eine außergewöhnlich hohe Zahl. Besonders brisant sind folgende Lücken:
- CVE-2026-45458 & CVE-2026-45456 – Outlook und Word RCE: Beide ermöglichen Remote Code Execution über präparierte Dokumente. Ein Angreifer, der ein Opfer dazu bringt, eine bösartige E-Mail-Anlage oder ein Word-Dokument zu öffnen, kann Code auf dem System ausführen – mit den Rechten des angemeldeten Benutzers.
- 63 Privilege Escalation-Lücken: Wer erst einmal Zugang hat, kann sich zum Administrator hocharbeiten. In Kombination mit den RCE-Schwachstellen ist das ein vollständiger Angriffspfad.
- 3 aktiv ausgenutzte Zero-Days: Diese Lücken wurden bereits vor dem Patch in freier Wildbahn ausgenutzt – Angreifer hatten also einen Vorsprung, bevor Microsoft reagieren konnte.
Warum ist das für KMU besonders gefährlich?
In kleinen und mittelständischen Unternehmen fehlt oft eine dedizierte IT-Abteilung, die Windows-Updates zentral und zeitnah ausrollt. Mitarbeitende haben häufig lokale Administratorrechte – genau das macht RCE-Lücken wie die in Outlook und Word so explosiv.
Ransomware-Gruppen scannen systematisch nach ungepatchten Systemen und nutzen bekannte Schwachstellen aus, sobald ein Patch öffentlich ist. Der Zeitraum zwischen Veröffentlichung eines Patches und aktiver Ausnutzung wird kontinuierlich kürzer – in einigen Fällen vergehen heute nur noch wenige Stunden.
Hinzu kommt: Outlook und Word sind in nahezu jedem Unternehmen im Einsatz. Eine einzige bösartige E-Mail mit Anhang kann ausreichen, um einen kompletten Ransomware-Angriff auszulösen.
Was sollten KMU jetzt konkret tun?
- Windows Update sofort anstoßen: Auf allen Systemen prüfen, ob die Juni-Updates installiert sind (Einstellungen → Windows Update → Nach Updates suchen). Nicht auf den automatischen Rollout warten.
- Microsoft 365 / Office aktualisieren: Outlook und Word müssen auf dem aktuellen Stand sein. In Office: Datei → Konto → Updateoptionen → Jetzt aktualisieren.
- Mitarbeiter sensibilisieren: Kein Anhang aus unbekannter Quelle öffnen – egal ob .docx, .xls oder PDF. Phishing-E-Mails imitieren heute legitime Absender täuschend echt.
- Patch-Management strukturieren: Wer noch kein systematisches Patch-Management betreibt, sollte jetzt damit anfangen. WSUS, Microsoft Endpoint Manager oder ein Managed Service helfen dabei, den Überblick zu behalten.
Fazit
198 Lücken, 3 aktiv ausgenutzte Zero-Days, kritische RCE-Schwachstellen in den meistgenutzten Office-Produkten der Welt – der Microsoft Patch Tuesday Juni 2026 ist ein deutliches Signal: Patch-Management ist kein optionaler Hygienefaktor, sondern ein zentraler Bestandteil jeder ernsthaften IT-Sicherheitsstrategie.
Sie möchten wissen, ob Ihre Systeme wirklich sicher aufgestellt sind? AntiLeaks.de bietet professionelle IT-Sicherheitsberatung und Schwachstellenanalysen speziell für den Mittelstand – ohne IT-Sprech, ohne unnötige Komplexität. Jetzt unverbindlich Kontakt aufnehmen.