Jeden zweiten Dienstag im Monat ist Pflichttermin für IT-Verantwortliche: Microsoft veröffentlicht seine monatlichen Sicherheitsupdates. Der Patch Tuesday Mai 2026 bringt Fixes für insgesamt 120 Sicherheitslücken – darunter mehrere kritische, die vor allem Windows-Systeme und Microsoft-Cloud-Dienste betreffen. Für Unternehmen im Mittelstand gilt: Wer jetzt nicht patcht, setzt sich einem erheblichen Risiko aus.
Was diesen Monat besonders kritisch ist
Im Mittelpunkt steht eine kritische Schwachstelle im Windows DNS-Client, die sämtliche aktuellen Windows-Versionen betrifft. Angreifer könnten über manipulierte DNS-Antworten Schadcode auf betroffene Systeme einschleusen – ohne dass Nutzer aktiv etwas tun müssen. Das macht diese Lücke besonders gefährlich: Sie lässt sich potenziell ohne Nutzerinteraktion aus dem Netzwerk heraus ausnutzen.
Ebenfalls im Fokus: CVE-2026-42826 in Azure DevOps mit einem CVSS-Score von 10.0 von 10 – der höchstmögliche Wert. Diese Lücke erlaubt es Angreifern, ohne Authentifizierung vollständige Kontrolle über betroffene Azure DevOps-Instanzen zu übernehmen. Wer DevOps-Pipelines für Softwareentwicklung oder Deployment nutzt, muss hier sofort handeln.
Zusätzlich wurde ein Angriff bekannt, der den BitLocker-Schutz über die Windows Recovery Environment (WinRE) aushebelt. Das bedeutet: Selbst verschlüsselte Laufwerke könnten bei physischem Zugriff auf ein Gerät kompromittiert werden – relevant für Unternehmen mit mobilen Arbeitsplätzen oder Außendienst-Laptops.
Welche Produkte betroffen sind
Die Mai-Updates decken ein breites Produktspektrum ab:
- Windows 10 und Windows 11 (alle aktuellen Versionen)
- Windows Server 2019, 2022, 2025
- Microsoft 365 / Office (Word, Excel, SharePoint)
- Azure DevOps und Azure-Dienste
- Microsoft Edge
Besonders brisant für den Mittelstand: Viele KMU setzen auf hybride Infrastrukturen mit lokalen Windows-Servern und Microsoft-Cloud-Diensten. Die aktuellen Schwachstellen treffen genau diese Kombination.
Was Unternehmen jetzt konkret tun sollten
Die gute Nachricht: Bislang gibt es keine bestätigten Berichte über aktive Ausnutzung dieser Schwachstellen in freier Wildbahn. Das gibt IT-Teams ein kurzes Zeitfenster – aber keinen Grund zur Entspannung.
Sofortmaßnahmen:
- Windows Update aktivieren und prüfen – auf allen Endgeräten und Servern. Ziel: KB5089549 (Windows 11) bzw. entsprechende KB-Nummern für Windows 10 und Server installiert.
- Azure DevOps patchen – wer on-premise betreibt, muss manuell aktualisieren. Cloud-Instanzen werden von Microsoft automatisch versorgt.
- BitLocker-Konfiguration überprüfen – insbesondere Pre-Boot-Authentication und Secure Boot Status auf mobilen Geräten validieren.
- Patch-Status dokumentieren – im Rahmen von ISO 27001 oder NIS2-Compliance muss das Patch-Management nachweisbar sein.
Für Unternehmen ohne dediziertes IT-Team empfiehlt sich ein Managed-Service-Ansatz, bei dem Patches automatisch getestet und ausgerollt werden – bevor Angreifer die Lücke ausnutzen können.
Fazit: Patch-Management ist keine Option, sondern Pflicht
120 Sicherheitslücken in einem einzigen Monat zeigen: Die Angriffsfläche moderner IT-Infrastrukturen wächst kontinuierlich. Für den Mittelstand bedeutet das: Wer Patch-Management als lästige Aufgabe behandelt, riskiert Datenverlust, Betriebsausfall und empfindliche DSGVO-Strafen.
Bei AntiLeaks.de unterstützen wir KMU dabei, Schwachstellen systematisch zu erkennen und zu schließen – bevor es Angreifer tun. Ob Vulnerability Assessment, Penetrationstests oder laufendes Security-Monitoring: Sprechen Sie uns an.