Kurzfassung
Microsoft Windows ist gleich von zwei lokal ausnutzbaren Schwachstellen betroffen: CVE-2026-81963 im Windows Update Stack und CVE-2026-85880 in Advanced Local Procedure Call. Beide stehen laut CISA auf der KEV-Liste und werden aktiv angegriffen.
Für Unternehmen im DACH-Raum heißt das: nicht in die übliche Patch-Warteschlange legen. Wer Windows-Clients, Server oder verwaltete Endpunkte betreibt, sollte die Systeme jetzt priorisieren, Ausnahmen sauber begründen und den Zustand der betroffenen Hosts prüfen.
Was ist passiert?
CVE-2026-81963 beschreibt eine Link-Following-Schwachstelle im Windows Update Stack. Ein lokaler Angreifer kann darüber Rechte bis SYSTEM hochziehen. Das ist kein Fernzugriff aus dem Internet, aber auf einem bereits kompromittierten oder missbrauchten Endpunkt ein sehr brauchbarer Eskalationsschritt.
CVE-2026-85880 sitzt in Advanced Local Procedure Call und ermöglicht laut NVD eine lokale Rechteausweitung über einen Heap-basierten Pufferüberlauf. Auch diese Lücke wird von CISA als aktiv ausgenutzt geführt. Wer auf Windows als Admin-Plattform oder als Arbeitsplatzstandard setzt, muss sie als akut behandlungsbedürftig ansehen.
Technische Details
Bei CVE-2026-81963 geht es um ein klassisches Link-Following-Problem. Vereinfacht gesagt folgt das System einem Verweis so, dass ein Angreifer Kontrolle über das Zielverhalten gewinnt. Im Windows-Update-Umfeld ist das besonders unschön, weil dort oft mit erhöhten Rechten gearbeitet wird.
CVE-2026-85880 betrifft einen Heap-basierten Buffer Overflow. Solche Fehler entstehen, wenn Speichergrenzen nicht sauber eingehalten werden. In der Praxis reicht das oft nicht für eine komplette Kompromittierung aus dem Nichts, wohl aber für eine lokale Privilegienerhöhung nach einem ersten Fuß in der Tür.
Beide Schwachstellen teilen einen wichtigen Punkt: Sie setzen lokalen Zugriff voraus. Das senkt den Hype-Faktor, aber nicht die Relevanz. In realen Angriffen kommen genau solche Lücken häufig nach einem Initialzugang zum Einsatz, etwa über Phishing, Malware oder einen bereits übernommenen Benutzeraccount.
Wer ist betroffen?
Betroffen ist Microsoft Windows. Die Quelle nennt keine eingeschränkte Produktlinie, kein bestimmtes Build und keine Versionseinschränkung. Ob auch ältere oder spezifische Server-Editionen betroffen sind, lässt der Hersteller in den hier vorliegenden Angaben offen.
Für deutsche und europäische Unternehmen ist das vor allem dann kritisch, wenn Windows-Endpunkte breit im Netz stehen, lokale Adminrechte zu großzügig vergeben sind oder Patchfenster zu lang gezogen werden. In solchen Umgebungen machen lokale Eskalationslücken aus einem kleinen Vorfall schnell einen vollständigen Systemverlust.
Privatnutzer sind nur mittelbar betroffen, sofern sie Windows einsetzen. Der unmittelbare Druck liegt klar bei Organisationen mit verwalteten Windows-Flotten.
Empfohlene Maßnahmen
Die Priorität ist hoch. Microsofts Vorgaben und die CISA-Hinweise verlangen, die Mitigations nach Herstelleranleitung umzusetzen und die BOD-26-04-Vorgaben für risikobasierte Updates zu beachten. Wo Mitigations fehlen, soll der Einsatz des Produkts laut Quelle beendet werden. Das ist hart formuliert, aber für kritische Umgebungen kein unrealistischer Maßstab.
Admins sollten jetzt zuerst den Patchstand der Windows-Systeme prüfen, dann betroffene Hosts in der Priorisierung nach vorne ziehen und lokale Adminrechte konsequent ausmisten. Wer EDR, Applocker oder andere Härtungsmaßnahmen sauber betreibt, sollte deren Erkennungsregeln auf ungewöhnliche lokale Privilegienausweitung und verdächtige Update-Stack-Aktivitäten überprüfen.
Für forensische Vorbereitung verweist CISA auf ihre Anforderungen zur Triage. In der Praxis heißt das: Logs sichern, auffällige Endpunkte isolieren und nach Hinweisen auf bereits erfolgte lokale Eskalation suchen. Bei cloud-verwalteten Windows-Umgebungen gilt dieselbe Disziplin; wenn ein System nicht sauber abgesichert werden kann, gehört es aus dem Betrieb genommen.
Einschätzung von CyberSecurity-News.de
Das ist ein klarer Fall für sofortige Priorisierung, aber kein Grund für Alarmismus. Beide Lücken brauchen lokalen Zugriff, doch genau solche Schwachstellen sind in Angriffsketten oft der letzte Schritt zum vollständigen Kompromiss. Wer sie ignoriert, öffnet einem Angreifer die Tür zum SYSTEM-Konto.
Die Informationslage ist hier brauchbar, aber nicht üppig. Die Quelle nennt den Exploit-Status und die Auswirkung, bleibt bei betroffenen Versionen und praktischen Abwehrdetails aber knapp. Für Admins ist das unerquicklich, weil sie trotzdem sofort handeln müssen.
Kritisch sehen wir die Lücke zwischen Relevanz und Detailtiefe: Zwei aktiv ausgenutzte Windows-Schwachstellen landen in der Praxis oft erst dann auf dem Tisch, wenn bereits gescannt oder missbraucht wird. Wer Windows im Unternehmen betreibt, sollte solche KEV-Einträge als operative Pflichtaufgabe behandeln, nicht als reine Hersteller-Meldung.
Fazit
CVE-2026-81963 und CVE-2026-85880 sind zwei lokale Windows-Rechteausweitungen mit echter Angriffsrelevanz. Aktiv ausgenutzt, in KEV gelistet und geeignet, aus einem begrenzten Zugriff schnell SYSTEM-Rechte zu machen.
Für DACH-Unternehmen ist die richtige Reihenfolge einfach: Patchstatus prüfen, Systeme priorisieren, Mitigations nachziehen, Logs kontrollieren. Wer das auf später schiebt, spielt mit dem falschen Zeitfenster.
