WID-SEC-2026-2856: Ungepatchte Defender-Lücke ermöglicht Admin-Rechte — warum Mehrbenutzer-Systeme jetzt besonders gefährdet sind

Eine Schwachstelle in Microsoft Defender und der zugrunde liegenden Malware Protection Engine erlaubt es einem lokalen Angreifer, sich Administratorrechte zu verschaffen — für die Lücke gibt es nach aktuellem Kenntnisstand noch keinen Patch. „Lokal“ klingt nach einer überschaubaren Hürde, ist es aber nicht: Wer auf einem gemeinsam genutzten System bereits ein reguläres, nicht-administratives Benutzerkonto besitzt — etwa auf einem Terminal-Server, in einer RDS-Umgebung oder an einem Arbeitsplatzrechner mit mehreren Nutzern —, erfüllt diese Voraussetzung bereits. Kein zusätzlicher Einbruch, kein Insiderwissen, kein Admin-Zugang nötig.

Was ist passiert?

CERT-Bund hat das Advisory WID-SEC-2026-2856 veröffentlicht. Es beschreibt eine neu bekannt gewordene Schwachstelle in Microsoft Defender und der Malware Protection Engine — jener Komponente, die auf praktisch jedem aktuellen Windows-System für die Signatur- und Verhaltensprüfung von Dateien zuständig ist. Nach den bisherigen Angaben kann ein Angreifer, der bereits lokal auf dem System angemeldet ist, die Lücke ausnutzen, um sich Administratorrechte zu verschaffen.

Was ist belegt?

Belegt ist der Kern des Problems: eine Rechteausweitung von einem regulären, lokal angemeldeten Konto auf Administratorebene, ausgelöst über eine Komponente, die auf beinahe jedem Windows-Rechner mit aktiviertem Defender läuft. CERT-Bund stuft die Schwachstelle als „hoch“ ein und markiert sie zugleich als „ungepatcht“ — ein offizieller Fix von Microsoft steht nach aktuellem Kenntnisstand noch aus.

Was ist derzeit unklar?

Öffentlich noch nicht bestätigt sind die technischen Details des Angriffswegs — etwa ob die Lücke einen bestimmten Scan-Modus, eine bestimmte Signaturversion oder eine bestimmte Windows-Build-Reihe voraussetzt. Zu einer aktiven Ausnutzung in freier Wildbahn liegen derzeit keine Angaben vor. Solange Microsoft keinen Patch veröffentlicht, bleibt zudem offen, wie lange das Zeitfenster bis zu einer Lösung reicht.

Warum gerade dieser Fund ernst zu nehmen ist

Aus unserer Sicht verdient dieses Advisory mehr Aufmerksamkeit, als „ungepatcht, also abwarten“ nahelegt. Defender ist keine Nischenkomponente, sondern läuft standardmäßig auf einem Großteil aller Windows-Systeme — und ist dort selbst als Sicherheits-Werkzeug positioniert. Eine Rechteausweitung ausgerechnet über die Schutzkomponente selbst vergrößert die Angriffsfläche ungewöhnlich breit, weil sie nicht von einer optionalen Zusatzsoftware abhängt, sondern von einem Baustein, den die meisten Umgebungen ohnehin aktiv haben.

Was Sie jetzt prüfen sollten

Ohne verfügbaren Patch bleibt vor allem Schadensbegrenzung. Besonders im Blick behalten sollten Sie Systeme, auf denen mehrere Personen mit eigenem, nicht-administrativem Konto arbeiten — klassischerweise Terminal-Server- und RDS-Umgebungen, aber auch gemeinsam genutzte Arbeitsplatzrechner. Dort ist die Voraussetzung für die Ausnutzung, ein lokales unprivilegiertes Konto, in aller Regel bereits erfüllt. Sinnvoll ist jetzt, auf solchen Systemen kritisch zu prüfen, wer tatsächlich ein eigenes Login benötigt, und nicht mehr benötigte Konten zu entfernen. Ergänzend hilft eine engmaschigere Überwachung ungewöhnlicher Rechteänderungen, etwa über vorhandene EDR- oder SIEM-Lösungen, sowie die laufende Beobachtung des CERT-Bund-Advisorys auf ein Update.

Quellen: CERT-Bund — „Microsoft Malware Protection Engine und Defender: Schwachstelle ermöglicht Erlangen von Administratorrechten“ (https://wid.cert-bund.de/portal/wid/securityadvisory?name=WID-SEC-2026-2856)