Jeden zweiten Dienstag im Monat rollt Microsoft seine Sicherheitsupdates aus – der sogenannte Patchday. Normalerweise ist das Routine. Der Juni 2026 war es nicht: 206 Schwachstellen auf einen Schlag, davon 33 als kritisch eingestuft, mehrere bereits aktiv angegriffen. Und als wäre das nicht genug, veröffentlichte ein Forscher unmittelbar nach dem Patchday einen Angriff, gegen den auch ein voll aktualisiertes Windows wehrlos ist.
Die Lücken, die zählen
Nicht jede der 206 Lücken ist gleich gefährlich. Drei Punkte stechen heraus:
- Microsoft Defender, bereits ausgenutzt (CVE-2026-41091): Eine Rechteausweitung mit CVSS 7.8. Ein Angreifer ohne Rechte legt eine präparierte Datei an einem geschützten Ort ab, Defender schreibt sie zurück – und verschafft dem Angreifer dabei SYSTEM-Rechte. Ausgerechnet das Schutzprogramm wird zum Einfallstor.
- Windows-Kernel TCP/IP-Stack (CVE-2026-45657): Eine Remote-Code-Lücke mit dem Höchstwert CVSS 9.8, die als potenziell «wurmfähig» gilt – also ohne Zutun von Nutzern von Rechner zu Rechner springen könnte. Genau dieses Muster hat in der Vergangenheit Vorfälle wie WannaCry möglich gemacht.
- Öffentlich bekannt vor dem Patch: Lücken in HTTP.sys, BitLocker und dem Collaborative Translation Framework (CVE-2026-49160, CVE-2026-50507, CVE-2026-45586) waren schon vor dem Update publik – ein Wettlauf zwischen Patchen und Angreifen.
Der Haken: «gepatcht» heisst nicht «sicher»
Direkt nach dem Patchday veröffentlichte ein Sicherheitsforscher einen Machbarkeitsnachweis namens «RoguePlanet» – einen Angriff auf eine Race-Condition in Microsoft Defender, der Windows 10 und 11 auch im voll aktualisierten Zustand SYSTEM-Rechte entlockt. Zum Zeitpunkt der Veröffentlichung gab es dafür weder eine CVE-Nummer noch einen Patch. Die Lehre: Updates schliessen die bekannten Lücken, nicht die noch unbekannten. Wer sich allein auf «alles grün im Update-Center» verlässt, verwechselt einen Zwischenstand mit Sicherheit.
Warum 206 Lücken ein Betriebs-Problem sind, kein Klick
Privat tippt man auf «Jetzt installieren» und ist fertig. In einem Betrieb mit Servern, Fachanwendungen und Schichtbetrieb ist genau das der gefährliche Moment. Updates müssen getestet, in Wartungsfenster gelegt und kontrolliert ausgerollt werden – sonst legt der Patch die Produktion lahm. Diese Lücke zwischen «Update verfügbar» und «Update überall installiert» ist das eigentliche Risiko. Je grösser der Patchday, desto grösser die Versuchung, ihn zu verschieben.
Genau hier setzt geordnetes Patch-Management an: bekannte Bestände, priorisierte Lücken (zuerst das aktiv Ausgenutzte und das Wurmfähige), definierte Wartungsfenster und eine Kontrolle, ob der Patch wirklich überall sitzt. Bei der UCC Pro betreuen wir genau diesen Prozess für unsere Kunden – damit ein 206-Lücken-Dienstag eine planbare Aufgabe bleibt und kein Notfall.
Was jetzt zu tun ist
- Den Juni-Patchday zeitnah einspielen – zuerst auf Systemen mit den aktiv ausgenutzten und wurmfähigen Lücken.
- Prüfen, ob die Updates wirklich auf allen Geräten angekommen sind, nicht nur auf den Servern im Blickfeld.
- Defender und Endpoint-Schutz nicht blind vertrauen – Protokolle auf ungewöhnliche Rechteausweitungen prüfen.
- Sich nicht auf «voll gepatcht = sicher» verlassen: Netzsegmentierung und minimale Berechtigungen begrenzen den Schaden, wenn doch eine unbekannte Lücke trifft.
Quelle: heise online, «Microsoft releases Patchday, IT researcher adds RoguePlanet zero-day» (10.06.2026); Microsoft Security Update Guide (Patchday 09.06.2026).