CVE-2026-96951HochCVSS 8.8Ausgenutzt (Zero-Day)KEVUmgehung von Sicherheitsfunktionen Eine Command-Injection-Schwachstelle in der Windows Shell erlaubt einem nicht authentifizierten entfernten Angreifer, eine Sicherheitsfunktion zu umgehen. Die betroffene Funktion ist Mark of the Web, die Dateien aus dem lokalen Netzwerk markiert. Microsoft meldet eine aktive Ausnutzung, und die CISA hat die Schwachstelle in ihren Katalog bekannt ausgenutzter Schwachstellen aufgenommen. Es ist keine Authentifizierung nötig, aber ein Benutzer muss mitwirken, zum Beispiel indem er eine präparierte Datei öffnet, die per E-Mail oder Instant Message eingegangen ist.
Windows, Windows ESU (erweiterte Sicherheitsupdates), Microsoft Office, Browser (Edge) · KB5126836 KB5126868 KB5126651 KB5126657 · MSRC
VM Inspector für Azure Virtual Machines enthält einen Fehler bei der Auflösung von Links vor Dateizugriffen (CWE-59, Link Following). Ein Angreifer aus dem Netzwerk ohne Berechtigungen und ohne Benutzerinteraktion könnte die Schwachstelle ausnutzen, um seine Rechte zu erweitern; der CVSS-Basiswert beträgt 10.0 (Critical). Microsoft gibt an, dass das Problem auf seiner Seite bereits vollständig behoben wurde und keine Massnahmen durch Kunden erfordert; der NVD-Eintrag befand sich zum Zeitpunkt der Recherche noch in der Analyse.
Azure · MSRC
Der Microsoft Azure Kubernetes Configuration Service enthält eine fehlende Authentifizierungsprüfung für eine kritische Funktion (CWE-306). Gemäss CVE-Eintrag kann ein nicht authentifizierter Angreifer mit Netzwerkzugriff seine Rechte erweitern; der CVSS-3.1-Basiswert beträgt 10.0 (Critical). Microsoft gibt an, dass das Problem serverseitig vollständig behoben wurde und Kunden keine Massnahmen ergreifen müssen.
Azure · MSRC
Microsoft Partner Center, das cloudbasierte Verwaltungsportal von Microsoft für Partner und Wiederverkäufer, enthält eine fehlerhafte Zertifikatsprüfung (CWE-295). Gemäss Microsoft kann ein netzwerkseitig erreichbarer Angreifer ohne Berechtigungen und ohne Benutzerinteraktion seine Rechte erweitern, mit hoher Auswirkung auf Vertraulichkeit und Integrität (CVSS 10.0). Kunden können den Dienst nicht selbst patchen, da Microsoft die Korrektur auf seiner Seite einspielt. Das Hauptrisiko für KMU ist indirekt, über ihren Managed Service Provider oder IT-Partner, dessen Partner-Center-Zugriff betroffen sein könnte.
Azure · MSRC
Microsoft Entra application proxy (früher Azure AD Application Proxy) veröffentlicht lokale Webanwendungen für Remote-Benutzer. Durch unzureichende Authentifizierung (CWE-287) kann ein nicht authentifizierter Angreifer über das Netzwerk seine Rechte erweitern. Microsoft stuft die Schwachstelle als kritisch ein (CVSS 3.1 Basiswert 10.0) und gibt an, dass Kunden keine Massnahmen ergreifen müssen. In den abgerufenen Quellen wurde keine Ausnutzung und kein öffentlicher Proof of Concept gefunden.
Azure · MSRC
Microsoft Bookings, ein Cloud-Dienst für Online-Terminplanung und Kundenbuchungen in Microsoft 365, enthält eine Autorisierungsumgehung aufgrund eines vom Benutzer kontrollierten Schlüssels (CWE-639). Ein nicht authentifizierter Angreifer im Netzwerk kann diese Schwachstelle ausnutzen, um Privilegien zu erweitern; laut CVSS-Vektor ist der Scope verändert und die Integrität stark betroffen. Microsoft behebt die Schwachstelle im eigenen Dienst, weshalb Kunden keinen Patch installieren müssen.
Apps · MSRC
Der Queue Manager von Windows Message Queuing (MSMQ) enthält in mehreren unterstützten Windows-Client- und Serverversionen eine Use-after-free-Schwachstelle (CWE-416). Ein nicht authentifizierter Angreifer mit Netzwerkzugriff auf den MSMQ-Dienst kann dadurch Code aus der Ferne ausführen; der CVSS-Basiswert beträgt 9.8 (kritisch). MSMQ ist standardmässig nicht installiert, daher hängt die Gefährdung davon ab, ob der Dienst installiert und über das Netzwerk erreichbar ist (standardmässig TCP/1801).
Windows, Windows ESU (erweiterte Sicherheitsupdates) · KB5126835 KB5126836 KB5126868 KB5126651 · MSRC
Ein Use-after-free-Fehler im Microsoft-QUIC-Transport von Windows 11 und Windows Server erlaubt einem nicht authentifizierten Angreifer aus dem Netzwerk, Code auszuführen. Dafür genügt es, einem betroffenen Dienst, der QUIC verwendet, manipulierten Netzwerkverkehr zu senden. Der CVSS-Basiswert beträgt 9.8 (kritisch), das Risiko hängt jedoch davon ab, ob QUIC-Dienste (UDP 443) aktiviert und aus unvertrauenswürdigen Netzen erreichbar sind.
Windows · KB5126655 KB5126653 KB5127648 KB5126646 · MSRC
Ein heap-basierter Pufferüberlauf in Microsoft QUIC, der Transportimplementierung unter Windows, .NET und Visual Studio, erlaubt einem nicht authentifizierten Angreifer, über das Netzwerk Code auszuführen. Es ist keine Benutzerinteraktion und kein Login nötig, die Auswirkungen werden mit einem CVSS-Wert von 9.8 als total (Vertraulichkeit, Integrität und Verfügbarkeit) eingestuft. Das Risiko hängt vor allem davon ab, ob Windows-Server oder .NET-Hosts mit QUIC- oder HTTP/3-Diensten aus unvertrauten Netzwerken erreichbar sind.
Windows, Entwicklerwerkzeuge (.NET, Visual Studio …) · KB5126655 KB5126653 KB5127648 KB5126646 · MSRC
Ein Heap-basierter Pufferüberlauf im Microsoft PostScript Printer Driver erlaubt einem nicht authentifizierten Angreifer, über das Netzwerk Code auszuführen. Die Schwachstelle wird ausgelöst, wenn der betroffene Treiber einen speziell präparierten Druckauftrag oder ein Paket an einen betroffenen Druckdienst verarbeitet. Die CVSS-3.1-Bewertung beträgt 9.8 (kritisch) mit niedriger Angriffskomplexität und ohne Benutzerinteraktion; CISA SSVC bewertet die technischen Auswirkungen als total.
Windows, Windows ESU (erweiterte Sicherheitsupdates) · KB5127648 KB5126646 KB5126835 KB5126836 · MSRC
Ein heap-basierter Pufferüberlauf im Microsoft PostScript Printer Driver von Windows erlaubt einem nicht authentifizierten Angreifer, über das Netzwerk Code auszuführen. Der CVSS-Wert beträgt 9.8 (kritisch). Für die Ausnutzung ist keine Benutzerinteraktion nötig, etwa durch einen speziell präparierten Druckauftrag oder ein Paket an einen betroffenen Druckdienst.
Windows, Windows ESU (erweiterte Sicherheitsupdates) · KB5126835 KB5126836 KB5126868 KB5126651 · MSRC
Ein Heap-basierter Pufferüberlauf in Microsoft Office Outlook erlaubt einem nicht authentifizierten Angreifer aus dem Netzwerk, Code auf dem betroffenen System auszuführen. Laut dem CVE-Eintrag von Microsoft sind keine Berechtigungen und keine Benutzerinteraktion nötig, und Microsoft nennt die Leseansicht als Auslösevektor, weshalb eine manipulierte E-Mail ausreichen kann. Der CVSS-Basiswert beträgt 9.8 (kritisch). Microsoft hat Sicherheitsupdates veröffentlicht; bisher wurde keine Ausnutzung gemeldet.
Microsoft Office · MSRC
Ein Heap-basierter Pufferüberlauf in Microsoft Office Outlook erlaubt es einem nicht authentifizierten Angreifer, über das Netzwerk Code aus der Ferne auszuführen; der CVSS-3.1-Basiswert beträgt 9.8 (kritisch). Laut Microsoft-Bewertung ist die Exploit-Reife als unbewiesen eingestuft, und die Schwachstelle ist weder öffentlich bekannt noch ist eine Ausnutzung bekannt. Recherchen deuten darauf hin, dass eine manipulierte E-Mail bereits im Lesebereich ohne Benutzerinteraktion ausgelöst werden kann, wobei Microsoft diesen Vektor nicht bestätigt hat, weshalb die Angriffsbedingungen teilweise unverifiziert sind.
Microsoft Office · MSRC
Ein Untrusted Pointer Dereference in Microsoft Office Word erlaubt einem nicht autorisierten Angreifer, über das Netzwerk Code auszuführen. Laut Microsoft ist der Reading Pane (Vorschaubereich) ein Angriffsvektor, weshalb ein Benutzer ein manipuliertes Dokument unter Umständen nicht öffnen muss. CVSS 9.8 (Critical); Microsoft und CISA SSVC bewerten die Ausnutzung als automatisierbar, aber es wurde keine Ausnutzung gemeldet.
Microsoft Office · MSRC
Microsoft Azure App Service ist von einer Schwachstelle durch fehlende Authentifizierung (CWE-306) bei einer kritischen Funktion betroffen. Ein nicht authentifizierter Angreifer im Netzwerk könnte Code ausführen, was eine vollständige Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit hätte. Microsoft gibt an, das Problem auf seiner Plattform vollständig behoben zu haben, sodass Kunden keine Massnahmen ergreifen müssen.
Azure · MSRC
Microsoft Dataverse, die Datenplattform hinter den Business-Anwendungen von Microsoft, enthält eine Deserialisierungsschwachstelle (CWE-502), die die Deserialisierung nicht vertrauenswürdiger Daten erlaubt. Gemäss CVSS-Vektor könnte ein nicht authentifizierter Angreifer mit Netzwerkzugriff ohne Benutzerinteraktion Code ausführen; der CVSS-Basiswert beträgt 9.8. Microsoft gibt an, dass die Schwachstelle auf seiner Seite bereits vollständig entschärft wurde und keine Massnahmen durch Kunden erforderlich sind.
Microsoft Dynamics · MSRC
Ein Stack-based Buffer Overflow in Microsoft Office Outlook erlaubt einem nicht autorisierten Angreifer, über das Netzwerk Code auszuführen. Die Schwachstelle ist als kritisch eingestuft (CVSS 9.8). Gemäss den Recherchenotizen kann eine speziell präparierte E-Mail über die Vorschau ohne Öffnen oder Anklicken durch den Empfänger Code-Ausführung auslösen; eine Authentifizierung ist nicht erforderlich.
Microsoft Office · MSRC
Ein Use-after-free-Speicherfehler (CWE-416) in Microsoft Office PowerPoint erlaubt einem nicht authentifizierten Angreifer, über das Netzwerk Code auszuführen. Gemäss CVE-Eintrag ist keine Anmeldung und keine Benutzerberechtigung nötig, der CVSS-Basiswert beträgt 9.8 (kritisch). Die Quellen widersprechen sich zum Angriffsweg: Microsoft beschreibt präparierte Präsentationen, die von einem Office-Online-Dienst verarbeitet werden, CrowdStrike nennt vorschauen im Vorschaubereich als Vektor; daher sollte eine präparierte Datei, die per E-Mail, Download oder webbasiertem Office-Dienst zugestellt wird, als plausibles Risiko behandelt werden.
Microsoft Office · MSRC
Microsoft hat eine Use-After-Free-Schwachstelle (CWE-416) in der DHCP-Serverrolle von Windows behoben. Ein nicht authentifizierter Angreifer mit Netzwerkzugriff kann auf dem Server Code ausführen, der CVSS-Wert beträgt 9.8 (kritisch). Microsoft stuft die Ausnutzung als weniger wahrscheinlich ein und nennt keine öffentliche Offenlegung, dennoch sollten DHCP-Server in internen Netzwerksegmenten vorrangig gepatcht werden.
Windows, Windows ESU (erweiterte Sicherheitsupdates) · KB5126836 KB5126868 KB5126651 KB5126646 · MSRC
Ein Heap-based Buffer Overflow in Microsoft Office Outlook erlaubt einem nicht authentifizierten Angreifer, über das Netzwerk Code auszuführen; der CVSS-3.1-Basiswert liegt bei 9.8 (kritisch). Gemäss der Advisory von Microsoft und den Recherchenotizen kann eine präparierte E-Mail, die über die Vorschau verarbeitet wird, ohne Klick für den Angriff ausreichen. Der NVD-Eintrag stand in den geprüften Quellen noch auf Awaiting Analysis, weshalb die offizielle Bewertung zu verifizieren ist.
Microsoft Office · MSRC
Eine Double-Free-Schwachstelle (CWE-415) in Microsoft Office Outlook erlaubt einem nicht authentifizierten Angreifer aus dem Netzwerk, Code auszuführen. Microsoft stuft die Schwachstelle als kritisch ein (CVSS 9.8) und beschreibt sie als netzwerkbasiert, ohne Berechtigungen und ohne Benutzerinteraktion. Laut dem im Research-Hinweis zitierten Advisory-Text könnte bereits die Anzeige einer präparierten Nachricht im Lesebereich die Schwachstelle auslösen, weshalb E-Mail der Hauptangriffsweg ist.
Microsoft Office · MSRC
Ein heap-basierter Pufferüberlauf in der Komponente Windows Text Shaping ermöglicht einem nicht autorisierten Angreifer, über das Netzwerk Code auszuführen. Die Schwachstelle ist mit CVSS 9.8 (kritisch) bewertet, und laut CVSS-Vektor sind weder Authentifizierung noch Benutzerinteraktion erforderlich. Die Angriffsfläche ist in den Quellen nicht identifiziert, daher hängt die Exponierung davon ab, welcher Dienst nicht vertrauenswürdige Eingaben verarbeitet, die die Textdarstellung erreichen.
Windows, Windows ESU (erweiterte Sicherheitsupdates) · KB5126835 KB5126836 KB5126868 KB5126651 · MSRC
Azure · MSRC
Azure Pipelines, die CI/CD-Plattform von Microsoft, enthält eine Command-Injection-Schwachstelle (CWE-77), mit der ein nicht authentifizierter Angreifer über das Netzwerk Code ausführen kann. Gemäss CVSS-Vektor sind keine Berechtigungen und keine Benutzerinteraktion nötig, die Auswirkungen auf Vertraulichkeit und Integrität sind hoch. Microsoft dokumentiert diese CVE als Problem eines Cloud-Dienstes, bei dem keine Massnahmen durch Kunden nötig sind; der Umfang für selbst gehostete Agents und On-Premises-Azure-DevOps-Server ist unbekannt.
Entwicklerwerkzeuge (.NET, Visual Studio …) · MSRC
Microsoft Office · MSRC
Microsoft Office · KB5002928 · MSRC
Microsoft Office · MSRC
Windows, Windows ESU (erweiterte Sicherheitsupdates) · KB5126835 KB5126836 KB5126868 KB5126651 · MSRC
Windows, Windows ESU (erweiterte Sicherheitsupdates) · KB5126651 KB5126655 KB5126657 KB5126646 · MSRC
Windows, Windows ESU (erweiterte Sicherheitsupdates) · KB5126835 KB5126836 KB5126868 KB5126651 · MSRC
Ein Heap-basierter Pufferüberlauf in Microsoft Office Visio, Bestandteil von Microsoft 365 Apps sowie Office LTSC 2021/2024, erlaubt einem nicht autorisierten Angreifer, über das Netzwerk Code auszuführen. Es sind keine Berechtigungen nötig, jedoch muss ein Benutzer mitwirken, etwa indem er eine manipulierte Visio-Datei per E-Mail, Download oder Freigabe öffnet. Der CVSS-Basiswert beträgt 8.8 (hoch).
Microsoft Office · MSRC
Microsoft Office · MSRC
Microsoft Office · MSRC
Microsoft Office · KB5002928 · MSRC
Windows, Windows ESU (erweiterte Sicherheitsupdates) · KB5126657 KB5126655 KB5126653 KB5127648 · MSRC
Windows · MSRC
Ein Heap-basierter Pufferüberlauf in Microsoft Word, Teil von Microsoft 365 Apps und Office LTSC, ermöglicht Remote Code Execution. Ein nicht authentifizierter Angreifer kann dies über das Netzwerk auslösen, dafür muss jedoch ein Benutzer ein manipuliertes Dokument öffnen oder einem schädlichen Link folgen. Bei einer erfolgreichen Ausnutzung hätte der Angreifer hohe Auswirkungen auf die Vertraulichkeit, Integrität und Verfügbarkeit des betroffenen Systems.
Microsoft Office · MSRC
Ein stapelbasierter Pufferüberlauf (CWE-121) in Microsoft Office Word erlaubt einem nicht autorisierten Angreifer, über das Netzwerk Code auszuführen. Der Angriff erfordert eine Interaktion des Opfers, meist durch das Öffnen eines präparierten Dokuments wie eines E-Mail-Anhangs oder eines Downloads. Der CNA bewertet die Schwachstelle mit CVSS 8.8 (Hoch); ein Eintrag von VulDB bewertet sie mit 5.5 (Mittel), und der NVD-Status ist in den Quellen uneinheitlich.
Microsoft Office · MSRC
Windows, Windows ESU (erweiterte Sicherheitsupdates) · KB5126835 KB5126836 KB5126868 KB5126651 · MSRC
Windows · KB5126651 · MSRC
Microsoft Office · MSRC
Windows, Windows ESU (erweiterte Sicherheitsupdates) · KB5126835 KB5126836 KB5126868 KB5126651 · MSRC
Windows, Windows ESU (erweiterte Sicherheitsupdates) · KB5126651 KB5126655 KB5126657 KB5126646 · MSRC
Windows, Windows ESU (erweiterte Sicherheitsupdates) · KB5126657 KB5126653 KB5127648 KB5126646 · MSRC
Microsoft Office · MSRC
Windows, Browser (Edge) · MSRC
Windows, Windows ESU (erweiterte Sicherheitsupdates) · KB5127648 KB5126646 KB5126651 KB5126657 · MSRC
Windows, Windows ESU (erweiterte Sicherheitsupdates) · KB5126653 KB5127648 KB5126646 KB5127646 · MSRC
Windows · MSRC
Windows, Windows ESU (erweiterte Sicherheitsupdates) · KB5126651 KB5126657 KB5126655 KB5126653 · MSRC
