Microsoft Patch Tuesday Juni 2026: 206 CVEs, 6 Zero-Days

Am 9. Juni 2026 veröffentlichte Microsoft sein reguläres monatliches Sicherheitsupdate, das als Patch Tuesday bekannt ist. Mit 206 behobenen Schwachstellen in Microsoft-eigenen Produkten und über 570 CVEs inklusive Chromium-Korrekturen stellt dieser Patchday einen neuen Rekord in der 23-jährigen Geschichte des Patch-Tuesday-Programms auf. Darunter befinden sich 6 Zero-Day-Schwachstellen, von denen eine zum Zeitpunkt der Veröffentlichung aktiv ausgenutzt wurde. Für deutsche Unternehmen mit Exchange-Server-Infrastruktur ist der Handlungsbedarf besonders dringend.

Rekord-Patchday: 206 CVEs in einem einzigen Update

Das Juni-Update 2026 übertrifft jeden zuvor veröffentlichten Patch Tuesday seit dem Programmstart im Oktober 2003. Microsoft schloss in seiner eigenen Produktpalette 206 Schwachstellen, davon 33 mit dem Schweregrad “Kritisch” und 167 als “Wichtig” eingestufte Lücken. Hinzu kommen 360 Chromium-Korrekturen, die im Edge-Browser eingeflossen sind, was die Gesamtzahl auf über 570 CVEs treibt.

Die Dominanz einer einzigen Kategorie fällt auf: 65 der 206 Patches betreffen Privilege-Escalation-Schwachstellen (Elevation of Privilege, EoP). Das entspricht einem Anteil von 31,6 Prozent. 55 Patches schließen Remote-Code-Execution-Lücken (RCE), 30 betreffen Information-Disclosure-Schwachstellen, 27 sind Spoofing-Korrekturen, 19 Security-Feature-Bypasses und 7 Denial-of-Service-Fixes. Diese Verteilung zeigt eine anhaltende Verwundbarkeit in der Windows-Privilegienverwaltung.

Zum Vergleich: Der bislang umfangreichste Patch Tuesday vor diesem Update enthielt rund 150 CVEs. Das Juni-2026-Update übersteigt diesen Wert um mehr als 37 Prozent. Sicherheitsanalysten von Qualys und Arctic Wolf bezeichnen den Patch-Umfang als “beispiellos” für ein einziges monatliches Update. Unternehmen stehen damit vor der Herausforderung, innerhalb ihrer regulären Wartungsfenster eine deutlich höhere Patch-Last zu bewältigen als üblich.

Schwachstellenkategorie	Anzahl CVEs	Davon Kritisch	Prozentanteil
Elevation of Privilege (EoP)	65	4	31,6 %
Remote Code Execution (RCE)	55	28	26,7 %
Information Disclosure	30	1	14,6 %
Spoofing	27	0	13,1 %
Security Feature Bypass	19	0	9,2 %
Denial of Service	7	0	3,4 %
Sonstige	3	0	1,5 %
Gesamt	206	33	100 %

CVE-2026-42897: Der aktiv ausgenutzte Zero-Day in Exchange Server

Die dringlichste Schwachstelle dieses Monats trägt die Kennung CVE-2026-42897 und betrifft Microsoft Exchange Server. Klassifiziert als Spoofing-Schwachstelle mit einem CVSS-Score von 8.1, ermöglicht sie einem Angreifer, eine präparierte E-Mail zu versenden. Öffnet das Opfer diese Nachricht über Outlook Web Access (OWA), wird beliebiges JavaScript im Browser des Opfers ausgeführt. Microsoft hat eine Notfallkorrektur über den Exchange Emergency Mitigation Service bereitgestellt.

Die aktive Ausnutzung dieser Schwachstelle zum Zeitpunkt der Patch-Veröffentlichung hebt CVE-2026-42897 aus den 205 anderen Fixes heraus. Angreifer mussten lediglich eine E-Mail versenden, keine Authentifizierung vorweisen und keinen weiteren Code ausführen. Der XSS-Angriff über OWA öffnet Tür und Tor für Session-Hijacking, Cookie-Diebstahl und die Verbreitung von Schadsoftware innerhalb des Unternehmensnetzes.

“Diese Exchange-Schwachstelle ist ein klassisches Beispiel dafür, wie ein niedriger Einstiegspunkt, nämlich eine simple E-Mail, eine vollständige Browser-Kompromittierung ermöglicht”, schreiben Sicherheitsforscher von Arctic Wolf in ihrer Juni-Analyse. “Unternehmen, die Exchange Server on-premises betreiben und OWA für ihre Mitarbeiter freigegeben haben, sollten CVE-2026-42897 zur allerhöchsten Priorität erklären und innerhalb von 24 Stunden patchen.”

Für den deutschen Unternehmensmarkt ist diese Schwachstelle besonders relevant. Exchange Server on-premises gehört in Deutschland, Österreich und der Schweiz nach wie vor zur Standardinfrastruktur vieler mittlerer und großer Unternehmen, insbesondere in regulierten Branchen wie dem Finanz- und Gesundheitssektor. Die Bundesbehörden betreiben ebenfalls eigene Exchange-Installationen. BSI-konforme Patch-Zyklen sehen eine Behebung kritischer Zero-Days innerhalb von 48 Stunden vor.

CVSS 9.8 und 9.6: Die kritischsten Lücken im Überblick

Neben dem aktiv ausgenutzten Exchange-Zero-Day enthält das Juni-Update zwei CVEs mit dem höchstmöglichen CVSS-Score in der kritischen Kategorie. CVE-2026-47291 betrifft den HTTP.sys-Treiber, also die Kernel-Mode-Komponente, die Windows-Webserver und alle Anwendungen mit HTTP-Kommunikation nutzen. Die Schwachstelle ermöglicht Remote Code Execution ohne Benutzerinteraktion und erhielt einen CVSS-Score von 9.8. Ein Angreifer kann aus dem Internet einen präparierten HTTP-Request senden und damit beliebigen Code auf dem Zielsystem ausführen.

CVE-2026-45657 betrifft den Windows-Kernel direkt und erhielt ebenfalls einen CVSS-Score von 9.8. Diese RCE-Schwachstelle ist besonders gefährlich, da der Windows-Kernel keine Isolation von Prozessen kennt, die auf Kernel-Ebene ausgeführt werden. Eine erfolgreiche Ausnutzung führt zur vollständigen Kompromittierung des Systems, unabhängig von installierten Sicherheitslösungen auf Benutzerebene.

CVE-2026-42904 in der Windows-TCP/IP-Implementierung trägt einen CVSS-Score von 9.6 und ist damit die dritthöchste Bewertung dieses Monats. Als Elevation-of-Privilege-Schwachstelle ermöglicht sie einem authentifizierten Angreifer, seine Rechte auf SYSTEM-Ebene zu erheben. In Kombination mit einer Remote-Ausführungslücke ergibt sich daraus eine vollständige Angriffskette. Rapid7-Sicherheitsforscher Caitlin Condon schreibt dazu in ihrer Analyse: “Der TCP/IP-Stack ist eine der fundamentalsten Komponenten jedes Windows-Systems. Eine EoP-Schwachstelle mit CVSS 9.6 auf dieser Ebene ist ein zentrales Element für Post-Exploitation-Angriffsketten.”

CVE-2026-45648 betrifft Windows Active Directory Domain Services mit einem CVSS-Score von 8.8 und ermöglicht Remote Code Execution. Active Directory ist das Herzstück der Identitätsverwaltung in deutschen Unternehmensnetzwerken. Ein erfolgreicher Angriff auf die AD-Infrastruktur gibt dem Angreifer Kontrolle über Konten, Gruppenrichtlinien und den gesamten Verzeichnisdienst.

65 Privilege-Escalation-Patches: Warum EoP das dominierende Angriffsmuster bleibt

Mit 65 EoP-Fixes in einem einzigen Update setzt Microsoft ein deutliches Signal: Privilege Escalation ist das meistgenutzte Angriffsmuster nach erfolgreicher initialer Kompromittierung. Angreifer nutzen EoP-Schwachstellen, um von einem eingeschränkten Benutzerkonto zu SYSTEM-Rechten zu eskalieren und damit vollständige Kontrolle über das System zu erlangen.

Besonders auffällig ist CVE-2026-42905, eine Use-After-Free-Schwachstelle in der Windows DWM Core Library. Der Desktop Window Manager (DWM) ist in alle modernen Windows-Versionen integriert. Ein authentifizierter Angreifer kann die Use-After-Free-Bedingung auslösen und SYSTEM-Rechte erlangen. CVE-2026-42980 im NT OS Kernel selbst ist eine weitere EoP-Schwachstelle, die in der Qualys-Analyse als besonders kritisch für Windows-Server-Umgebungen eingestuft wird, da die Ausnutzung keine erhöhten Rechte voraussetzt.

Sicherheitsforscher von Qualys warnen in ihrer Patch-Tuesday-Analyse: “Die Konzentration von 65 EoP-Schwachstellen in einem einzigen Monat übertrifft jeden bisher beobachteten Wert. Bedrohungsakteure kombinieren diese Lücken mit Phishing- oder Supply-Chain-Angriffen als initialen Zugriffsvektor. Wer diese Patches nicht innerhalb von 72 Stunden einspielt, riskiert eine vollständige Domänenkompromittierung.”

Für die deutschen Unternehmenslandschaft bedeutet das konkret: Jedes Windows-System, auf dem ein normaler Benutzer arbeitet, ist potenzieller Ausgangspunkt für eine Privilegieneskalation. In Kombination mit einem Phishing-Angriff, der einen Benutzer dazu verleitet, Schadcode auszuführen, reicht eine der 65 EoP-Lücken aus, um vollständige Domänenadministratorrechte zu erlangen.

Der Forscher “Nightmare-Eclipse”: Fünf Zero-Days in einem Monat

Eine der ungewöhnlichsten Entwicklungen dieses Patch Tuesdays ist die Häufung öffentlich bekannter Zero-Days, die auf einen einzigen Sicherheitsforscher zurückgehen, der unter dem Alias “Nightmare-Eclipse” operiert. Laut der Arctic-Wolf-Analyse sind fünf der sechs zero-day-Schwachstellen auf öffentliche Proof-of-Concept-Veröffentlichungen dieses Forschers zurückzuführen.

Die fünf durch Nightmare-Eclipse publizierten Zero-Days tragen interne Codenamen: “GreenPlasma” (CVE-2026-45586, CTFMON-EoP, CVSS 7.8), “YellowKey” (CVE-2026-45585, BitLocker-Bypass), “BlueHammer”, “RedSun” und “UnDefend”. Microsoft hatte für diese Schwachstellen zum Zeitpunkt der öffentlichen Disclosure noch keine Patches bereitgestellt, was die Grundprinzipien des Responsible Disclosure verletzt.

Besonders besorgniserregend: Nightmare-Eclipse hat nach eigenen Angaben einen weiteren Proof-of-Concept-Code veröffentlicht, der als “RoguePlanet” bezeichnet wird und eine Zero-Day-Schwachstelle in Microsoft Defender ausnutzt. Zum Zeitpunkt des Juni-Patchdays ist diese Schwachstelle noch ungepacht. Microsoft hat nach Bekanntwerden des PoC-Codes keine Stellungnahme zur Timeline für einen Fix veröffentlicht. IT-Verantwortliche sollten die Aktivitäten von Nightmare-Eclipse auf einschlägigen Sicherheitsplattformen beobachten.

Das Phänomen, dass ein einzelner Forscher mehrere Zero-Days gleichzeitig veröffentlicht, ist in der Security-Community nicht unbekannt. Es reflektiert einen grundsätzlichen Dissens über Offenlegungsfristen: Einige Forscher akzeptieren die branchenübliche 90-Tage-Frist, während andere bei ausbleibendem Vendor-Response auf sofortige Veröffentlichung setzen. Die Taktik erhöht den Druck auf Microsoft, schafft aber gleichzeitig ein breites Verwundbarkeitsfeld für Angreifer, die aktiv nach Zero-Day-Informationen suchen.

Drei öffentlich bekannte CVEs: Sofortiger Handlungsbedarf

Microsoft bestätigt für drei CVEs eine öffentliche Disclosure vor dem Patchday, was sie zu besonders zeitkritischen Lücken macht. CVE-2026-49160 (HTTP.sys Denial of Service, CVSS 7.5) und CVE-2026-50507 (Windows BitLocker Security Feature Bypass, CVSS 6.8) sowie CVE-2026-45586 (CTFMON EoP, CVSS 7.8) wurden alle vor dem 9. Juni 2026 öffentlich beschrieben. Microsoft stuft alle drei mit “Exploitation More Likely” ein.

CVE-2026-50507 stellt eine besondere Bedrohung für Unternehmensgeräte dar. Der BitLocker-Bypass ermöglicht es einem Angreifer mit physischem Gerätezugang, die Festplattenverschlüsselung zu umgehen und auf die Daten zuzugreifen. Für die häufig im deutschen Außendienst eingesetzten Laptops, bei denen BitLocker als einzige Schutzmaßnahme für Festplattendaten gilt, bedeutet das: Bei Diebstahl oder Verlust eines ungepachten Geräts sind alle gespeicherten Daten kompromittierbar.

Dustin Childs vom Zero Day Initiative (ZDI) von Trend Micro hebt in seiner Juni-Analyse CVE-2026-47291 als die wichtigste Schwachstelle des Monats hervor: “HTTP.sys ist die Kernel-Mode-Komponente, auf der IIS und viele andere Windows-Dienste aufbauen. Ein unauthentifizierter Angreifer kann einen präparierten HTTP-Request senden und Code auf Kernel-Ebene ausführen. Mit einem CVSS-Score von 9.8 und ohne Benutzerinteraktion ist dies die Definition eines wurmfähigen Angriffsvektors.”

Exchange, Active Directory, Hyper-V: Kritische Unternehmenskomponenten betroffen

Das Juni-Update enthält Patches für vier Exchange-Server-Schwachstellen. Neben dem aktiv ausgenutzten CVE-2026-42897 betreffen CVE-2026-45501 (CVSS 6.5) und CVE-2026-47631 (CVSS 8.1) ebenfalls Exchange Server mit Spoofing-Schwachstellen. Für Unternehmen, die Microsoft Exchange on-premises oder in hybriden Konfigurationen betreiben, sind alle vier Patches prioritär zu behandeln.

Hyper-V, die Virtualisierungsplattform von Microsoft, erhielt Patches für die kritischen CVEs CVE-2026-45607 und CVE-2026-45641, beide mit CVSS 8.4 und Remote-Code-Execution-Potenzial. Ein Angriff auf den Hyper-V-Host kann zur Kompromittierung aller auf ihm laufenden virtuellen Maschinen führen. In deutschen Rechenzentren, wo Hyper-V als kostengünstige Alternative zu VMware eingesetzt wird, hat diese Schwachstellenklasse besonderes Gewicht.

Windows Active Directory Domain Services (CVE-2026-45648, CVSS 8.8) ist die kritischste Schwachstelle für den Identity-Management-Bereich. Active Directory ist in mehr als 90 Prozent der deutschen Unternehmensumgebungen im Einsatz. Eine RCE-Schwachstelle im AD-Dienst erlaubt es einem Angreifer, der Zugang zum internen Netzwerk hat, den Domänencontroller zu kompromittieren und damit die gesamte IT-Infrastruktur unter seine Kontrolle zu bringen.

Historischer Kontext: 23 Jahre Patch Tuesday

Microsoft startete das Patch-Tuesday-Programm im Oktober 2003 als Reaktion auf unkontrollierte, sofortige Patch-Veröffentlichungen, die Administratoren in permanenten Notfall-Patchzyklen festhielten. Das monatliche Modell sollte Unternehmen ermöglichen, Updates planbar zu integrieren. Über zwei Jahrzehnte hinweg wuchs die durchschnittliche Anzahl gepatchter CVEs von rund 10 im Jahr 2003 auf 80 bis 100 pro Monat Anfang der 2020er-Jahre.

Die Explosion der Patch-Volumina in 2025 und 2026 ist auf mehrere Faktoren zurückzuführen: Die zunehmende Angriffsfläche durch Cloud-Dienste (Azure, M365, Copilot), die Integration von KI-Komponenten in das Windows-Ökosystem und die verstärkte Bug-Bounty-Aktivität durch externe Forscher. Allein Microsoft M365 Copilot erhielt in diesem Monat mit CVE-2026-45497 (CVSS 7.7) einen kritischen RCE-Patch.

Patch Tuesday	Monat	CVEs gesamt	Kritisch	Zero-Days	Aktiv ausgenutzt
Historisches Mittel (2020–2024)	Monatsdurchschnitt	~100	~10	0–3	0–1
Rekordwert vor Juni 2026	ca. 2024–2025	~150	~15	1–4	0–2
April 2026	April 2026	134	11	2	1
Mai 2026	Mai 2026	161	17	3	1
Juni 2026 (Rekord)	Juni 2026	206	33	6	1

NIS2 und BSI: Pflichten für deutsche Unternehmen

Unter der NIS2-Umsetzung in Deutschland, die mit dem neuen BSIG in Kraft getreten ist und rund 29.500 Unternehmen erfasst, gelten für kritische Infrastrukturanbieter und wichtige Einrichtungen konkrete Pflichten im Umgang mit bekannten Schwachstellen. Das BSI erwartet, dass meldepflichtige Vorfälle, bei denen aktiv ausgenutzte Zero-Days wie CVE-2026-42897 eine Rolle spielen, innerhalb von 24 Stunden gemeldet werden.

Die Nicht-Anwendung verfügbarer Sicherheitspatches kann als fahrlässige Verletzung der nach NIS2 geforderten technischen Sicherheitsmaßnahmen gewertet werden. Bei Vorfällen, die auf das Ausbleiben von Patches zurückzuführen sind, drohen Bußgelder von bis zu 10 Millionen Euro für wichtige Einrichtungen. Betreiber kritischer Infrastrukturen riskieren Geldbußen von bis zu 20 Millionen Euro oder 4 Prozent des globalen Jahresumsatzes.

Das BSI empfiehlt in seiner Patch-Management-Empfehlung (TR-03183) eine Priorisierung nach CVSS-Score und Ausnutzbarkeit. Für den Juni-Patchday bedeutet das: CVE-2026-42897 (aktiv ausgenutzt), CVE-2026-47291 (CVSS 9.8, wurmfähig) und CVE-2026-45648 (AD-RCE, CVSS 8.8) sollten in Klasse 1 mit sofortigem Patch-Bedarf eingestuft werden. Alle weiteren kritischen Lücken gehören in Klasse 2 mit einer 72-Stunden-Frist für kritische Systeme.

Priorisierungsempfehlungen für IT-Administratoren

Angesichts der Rekordanzahl an Patches empfiehlt sich eine strukturierte Vorgehensweise. Priorität 1, sofort innerhalb von 24 Stunden: CVE-2026-42897 (Exchange Server, aktiv ausgenutzt). Microsoft hat eine automatische Mitigation über den Exchange Emergency Mitigation Service bereitgestellt, die sofort aktiviert werden sollte, auch wenn der vollständige Patch noch nicht eingespielt wurde.

Priorität 2, innerhalb von 48 Stunden für extern erreichbare Systeme: CVE-2026-47291 (HTTP.sys, CVSS 9.8, RCE ohne Authentifizierung) und CVE-2026-45657 (Windows Kernel, CVSS 9.8). Alle Windows-Server, die direkten Internetkontakt haben oder HTTP-Dienste bereitstellen, sind durch CVE-2026-47291 besonders gefährdet. Temporäre Maßnahme: HTTP.sys-Zugriff aus dem Internet über WAF oder Firewall-Regeln einschränken, bis der Patch eingespielt ist.

Priorität 3, innerhalb von 72 Stunden: CVE-2026-45648 (Active Directory, CVSS 8.8), CVE-2026-42904 (TCP/IP EoP, CVSS 9.6), CVE-2026-50507 (BitLocker-Bypass, öffentlich bekannt). Alle Hyper-V-Hosts und Exchange-Server sollten unabhängig von der Dringlichkeitsstufe spätestens im nächsten regulären Wartungsfenster gepatcht werden.

Satnam Narang von Tenable Research schreibt dazu: “Bei 206 Patches gleichzeitig ist Triage unerlässlich. Unternehmen, die versuchen, alle Updates gleichzeitig zu deployen, riskieren Betriebsunterbrechungen. Eine risikobasierte Priorisierung nach Ausnutzbarkeit, Exponierung und Kritikalität des betroffenen Systems ist die einzig praktikable Strategie, die sowohl die Sicherheit als auch die Verfügbarkeit der Infrastruktur wahrt.”

Marktauswirkungen: Druck auf Patch-Management-Lösungen

Der Rekord-Patchday verstärkt den Druck auf Hersteller von Patch-Management-Lösungen wie Ivanti, ManageEngine und Lansweeper. Laut Lansweepers eigener Analyse benötigten Unternehmen nach dem Juni-Update im Durchschnitt 18 Tage, um alle kritischen Patches auf mehr als 95 Prozent ihrer Endpunkte auszurollen. Zum Vergleich: Nach normalen Patch Tuesdays mit rund 100 CVEs lag dieser Wert bei 11 Tagen.

Die steigende Komplexität hat direkte finanzielle Auswirkungen. Unternehmen, die für das Patch-Management externe Dienstleister nutzen, sehen sich mit höheren Kosten für erweiterte Wartungsfenster konfrontiert. Cloudbasierte Lösungen, die automatisiertes Patch-Rollout über Azure Update Manager oder Windows Autopatch ermöglichen, profitieren von erhöhter Nachfrage. Microsoft positioniert Windows Autopatch als Antwort auf die wachsende Patch-Komplexität.

Der CVE-Trend ist strukturell: Die Mondoo-Analyse des Schwachstellen-Ökosystems 2026 zeigt, dass die globale CVE-Datenbank mittlerweile über 290.000 gemeldete Schwachstellen enthält. Die Zeit zwischen Disclosure und aktivem Exploit hat sich von durchschnittlich 63 Tagen im Jahr 2020 auf 5 Tage im Jahr 2026 verkürzt. Das bedeutet: Unternehmen haben kaum noch Puffzeit zwischen Patch-Veröffentlichung und erstem Angriff.

Fünf Prognosen: Was der Rekordpatchday für die zweite Jahreshälfte bedeutet

1. Der ungepatchte Microsoft-Defender-Zero-Day wird vor August 2026 aktiv ausgenutzt. Nightmare-Eclipses “RoguePlanet”-PoC ist öffentlich zugänglich. Erfahrungsgemäß folgt auf die öffentliche Verfügbarkeit eines weaponized PoC eine aktive Exploitierung innerhalb von 72 Stunden bis zwei Wochen. Microsoft wird voraussichtlich einen Out-of-Band-Patch vor dem Juli-Patchday veröffentlichen.

2. Mindestens eine der 65 EoP-Schwachstellen dieses Monats wird in einer Ransomware-Kampagne gegen deutsche Unternehmen eingesetzt. Ransomware-Gruppen systematisieren die Auswertung monatlicher Patch-Tuesdays. Die hohe Dichte an EoP-Lücken bei gleichzeitig verlängerter Rollout-Zeit von 18 Tagen erzeugt ein breites Angriffsfenster. Das BKA hatte für 2025 einen Anstieg der Ransomware-Gruppen um 49 Prozent dokumentiert.

3. Der Patch-Tuesday-Zyklus stößt an seine Grenzen. Bei 200-plus CVEs pro Monat ist das monatliche Modell für viele Unternehmen nicht mehr praktisch handhabbar. Microsoft wird voraussichtlich 2027 erweiterte Automated-Patch-Delivery-Optionen einführen oder das Programm auf Wochenbasis umstellen, um die Verteilung der Patch-Last zu glätten.

4. Die Aktivitäten von Nightmare-Eclipse werden zum Präzedenzfall für eine verschärfte CVSS-Disclosure-Regulierung in der EU. Im Rahmen des Cyber Resilience Act, dessen Meldepflichten ab September 2026 gelten, werden öffentliche Zero-Day-Veröffentlichungen ohne vorherige Vendor-Notification als meldepflichtiger Vorfall eingestuft werden, der Koordinierungsmaßnahmen der ENISA auslöst.

5. Microsoft Exchange on-premises verliert weiteren Marktanteil in Deutschland. Jeder aktiv ausgenutzte Exchange-Zero-Day beschleunigt die Migration zu Exchange Online (Microsoft 365). Für das DACH-Segment, in dem Datenschutzbedenken die Cloud-Migration bisher verlangsamt haben, kippt das Sicherheitsargument zunehmend zugunsten der Cloud, die automatische Patches ohne Wartungsfenster erhält.

FAQ: Microsoft Patch Tuesday Juni 2026

Wie viele Schwachstellen hat Microsoft im Juni 2026 behoben?

Microsoft schloss im Juni 2026 Patch Tuesday 206 CVEs in seinen eigenen Produkten, davon 33 kritische und 167 wichtige Schwachstellen. Inklusive Chromium-Korrekturen im Edge-Browser summiert sich die Gesamtzahl auf über 570 CVEs. Es ist der umfangreichste Patch Tuesday in der 23-jährigen Geschichte des Programms.

Welche Schwachstelle wird aktiv ausgenutzt und was sollte sofort gepatcht werden?

CVE-2026-42897 in Microsoft Exchange Server wird aktiv ausgenutzt und sollte sofort gepatcht werden. Ein Angreifer kann eine präparierte E-Mail versenden, die bei Öffnung in Outlook Web Access (OWA) beliebigen JavaScript-Code im Browser des Opfers ausführt. Microsoft hat eine automatische Notfall-Mitigation über den Exchange Emergency Mitigation Service bereitgestellt.

Was ist das Risiko des BitLocker-Bypasses CVE-2026-50507?

CVE-2026-50507 (CVSS 6.8) ermöglicht einem Angreifer mit physischem Zugang zu einem Windows-Gerät, die BitLocker-Festplattenverschlüsselung zu umgehen und auf alle gespeicherten Daten zuzugreifen. Da der PoC-Code öffentlich verfügbar ist und Microsoft die Schwachstelle als “Exploitation More Likely” einstuft, ist der Patch besonders für Außendienst-Laptops und mobile Geräte dringend erforderlich.

Was ist der “RoguePlanet”-Zero-Day und warum ist er ungepacht?

“RoguePlanet” ist der Codename eines öffentlich veröffentlichten Proof-of-Concept-Codes des Sicherheitsforschers “Nightmare-Eclipse”, der eine Zero-Day-Schwachstelle in Microsoft Defender ausnutzt. Microsoft hat diesen Zero-Day im Juni-Patchday nicht geschlossen. IT-Administratoren sollten auf einen Out-of-Band-Patch von Microsoft warten und bis dahin alternative Sicherheitsmaßnahmen prüfen.

Welche Pflichten haben deutsche Unternehmen unter NIS2 bei diesen Schwachstellen?

Unter der NIS2-Umsetzung in Deutschland (BSIG) müssen meldepflichtige Einrichtungen sicherstellen, dass bekannte und aktiv ausgenutzte Schwachstellen zeitnah gepatcht werden. Bei Vorfällen, die auf die Nicht-Anwendung verfügbarer Patches zurückzuführen sind, können Bußgelder von bis zu 10 Millionen Euro (wichtige Einrichtungen) oder bis zu 20 Millionen Euro bzw. 4 Prozent des Jahresumsatzes (kritische Infrastrukturen) verhängt werden.

Warum hat der HTTP.sys-Patch (CVE-2026-47291) mit CVSS 9.8 besondere Priorität?

HTTP.sys ist der Kernel-Mode-Treiber, auf dem Windows-Webserver (IIS) und zahlreiche andere Anwendungen aufbauen, die HTTP-Kommunikation nutzen. CVE-2026-47291 ermöglicht Remote Code Execution ohne Authentifizierung und ohne Benutzerinteraktion mit einem CVSS-Score von 9.8. Die Schwachstelle ist potenziell wurmfähig, da ein Angreifer über das Internet einen präparierten HTTP-Request senden und damit vollständige Kontrolle über das System erlangen kann.

Wie lange dauert es typischerweise, alle kritischen Patches auszurollen?

Nach dem Juni-2026-Rekordpatchday benötigten Unternehmen laut Lansweeper-Analyse im Durchschnitt 18 Tage, um alle kritischen Patches auf mehr als 95 Prozent ihrer Endpunkte auszurollen. Nach normalen Patch Tuesdays mit rund 100 CVEs lag dieser Wert bei 11 Tagen. Automatisierte Patch-Management-Lösungen wie Windows Autopatch können die Rollout-Zeit signifikant verkürzen.

Quellen: Tenable: Microsoft Juni 2026 Patch Tuesday Analyse | Arctic Wolf: Patch Tuesday Recap Juni 2026 | Rapid7: Patch Tuesday Juni 2026 | SANS Internet Storm Center: Juni 2026 | Microsoft Security Update Guide Juni 2026

Microsoft Patch Tuesday Juni 2026: 206 CVEs, 6 Zero-Days [2026]