Vier Microsoft-Edge-Schwachstellen – auf Version 154.0.4258.37 aktualisieren

Vier Schwachstellen in Microsoft Edge ermöglichen laut CERT-⁠Bund die Ausführung beliebigen Programmcodes aus der Ferne; der CVSS-⁠Basiswert beträgt 8,8. Ein Konto braucht ein Angreifer dafür nicht, bei einem solchen Basiswert muss in der Regel aber ein Nutzer mitwirken, etwa indem er einen Inhalt öffnet. Da ein korrigiertes Update bereitsteht, sollten Sie betroffene Browser nicht bis zum nächsten regulären Wartungstermin liegen lassen.

Vier CVE-⁠Kennungen betreffen denselben Browser

CERT-⁠Bund führt die Schwachstellen unter den Kennungen CVE-⁠2026-⁠85890, CVE-⁠2026-⁠85897, CVE-⁠2026-⁠96198 und CVE-⁠2026-⁠96199. Die Meldung beschreibt als mögliche Folge die Ausführung beliebigen Programmcodes. Sie ordnet den einzelnen Kennungen jedoch keine unterschiedlichen Auswirkungen oder eigenen Angriffswege zu. Deshalb wäre es nicht belastbar, aus der gemeinsamen Meldung eine einheitliche technische Ursache abzuleiten.

Für die betriebliche Priorisierung zählt zunächst die Kombination aus betroffener Software, möglicher Codeausführung und entfernter Ausnutzbarkeit. Der Basiswert 8,8 ist als hoch eingestuft. Die Angabe „anonym“ bedeutet, dass der Angreifer kein Konto auf dem betroffenen System benötigt. Sie bedeutet nicht, dass aus der Meldung ein bestimmter Köder, eine konkrete Webseite oder ein bestimmter Ablauf beim Öffnen abgeleitet werden kann.

Maßgeblich ist die installierte Edge-⁠Version

Als korrigierten Stand nennt CERT-⁠Bund Microsoft Edge 154.0.4258.37. Betroffen sind die aufgeführte Version sowie ältere Ausgaben, also Versionen unterhalb von 154.0.4258.37. Prüfen Sie deshalb die installierte Version auf den Geräten, auf denen Edge verwendet wird. Eine zentrale Bestandsübersicht ist dafür hilfreicher als die Annahme, ein Update sei bereits auf allen Geräten angekommen.

Das betrifft nicht nur einzelne Arbeitsplätze, die IT-⁠Verantwortliche regelmäßig selbst nutzen. Auch Geräte von Beschäftigten, gemeinsam genutzte Rechner und verwaltete Endgeräte gehören in die Prüfung, sofern dort Edge installiert ist. Entscheidend ist der tatsächliche Versionsstand auf dem jeweiligen Gerät. Eine Richtlinie oder ein geplanter Update-⁠Rollout belegt für sich allein noch nicht, dass die Korrektur überall angekommen ist.

Codeausführung macht die Lücke dringlich

Eine Schwachstelle, die beliebigen Programmcode ausführen kann, ist anders zu gewichten als ein Fehler, der lediglich eine einzelne Funktion beeinträchtigt. Sie kann die Sicherheit des betroffenen Geräts berühren. Welche konkreten Folgen ein Angriff hätte, hängt unter anderem von der Umgebung und den Berechtigungen des betroffenen Nutzers ab; dazu macht die Meldung keine nähere Aussage. Für die Entscheidung über das Update reicht die beschriebene Möglichkeit der Codeausführung dennoch aus, um die Korrektur zu priorisieren.

Die anonyme Ausnutzbarkeit ist für die Risikoeinschätzung ebenfalls relevant: Es wäre falsch, den Schutz allein an der Frage festzumachen, ob ein Konto besonders abgesichert ist. Gleichzeitig sollte die Nutzerbeteiligung nicht aus dem Blick geraten. Die vorliegenden Angaben benennen keinen konkreten Inhalt, den ein Nutzer öffnen müsste. Leiten Sie daher keine spezielle Erkennungsregel für E-⁠Mails oder Webseiten daraus ab.

Update gezielt ausrollen und Abschluss prüfen

Spielen Sie Microsoft Edge mindestens auf den von CERT-⁠Bund genannten korrigierten Stand 154.0.4258.37 ein. Beginnen Sie mit den Geräten, die geschäftlich genutzt werden und deren Versionsstand noch nicht bestätigt ist. Prüfen Sie anschließend anhand der installierten Version, ob die Korrektur tatsächlich vorhanden ist. So vermeiden Sie, einen angestoßenen Rollout mit einem abgeschlossenen Rollout zu verwechseln.

Bei zentral verwalteten Geräten sollte die Prüfung auch Ausnahmen sichtbar machen: etwa Rechner, die längere Zeit nicht mit der Verwaltung verbunden waren, oder Installationen, deren Update-⁠Status nicht bestätigt wurde. Für solche Geräte ist eine konkrete Nachprüfung sinnvoller als eine pauschale Annahme, dass sie mit dem Rest der Umgebung aktualisiert wurden. Wo die Versionsprüfung noch einen Stand unterhalb der genannten Korrektur zeigt, ist das Update weiterhin offen.

Die Empfehlung ist klar: Aktualisieren Sie Edge auf Version 154.0.4258.37 und schließen Sie die Prüfung erst ab, wenn der korrigierte Versionsstand auf den betroffenen Geräten bestätigt ist.

Quellen: CERT-⁠Bund – „Microsoft Edge: Mehrere Schwachstellen ermöglichen Codeausführung“ (https://wid.cert-bund.de/portal/wid/securityadvisory?name=WID-⁠SEC-⁠2026-⁠4040)