Microsoft Teams, Azure Managed Instance und Service Bus: CERT-Bund warnt vor Codeausführung — was Administratoren jetzt tun sollten

Das CERT-Bund hat mit WID-SEC-2026-2692 ein neues Advisory der Einstufung „hoch“ veröffentlicht, das drei im Mittelstand weit verbreitete Microsoft-Dienste betrifft: Microsoft Teams, Azure Managed Instance und den Azure Service Bus. Das klingt nach einem weiteren Patchday-Posten — es steckt aber mehr dahinter: Die Kombination aus beliebiger Codeausführung und Privilegienerweiterung, die das Advisory benennt, macht diesen Fall ernst und signalisiert gezielten Handlungsbedarf.

Drei Produkte, ein Advisory — das ist auf den ersten Blick ungewöhnlich. CERT-Bund-Advisorys fassen mitunter mehrere unabhängige Schwachstellen zusammen, die denselben Anbieter betreffen; ob es sich hier um verwandte Angriffsvektoren oder schlicht gebündelte Microsoft-Patches handelt, geht aus der Kurzmeldung nicht hervor. Was feststeht: Alle drei Dienste sind in Unternehmensumgebungen täglich im Einsatz.

Microsoft Teams ist für viele Unternehmen der zentrale Kommunikationshub — Chats, Videoanrufe, gemeinsam genutzte Dateien. Eine Schwachstelle, die dort Codeausführung ermöglicht, betrifft einen der meistgenutzten Einstiegspunkte im Unternehmensalltag.

Azure Managed Instance ist Microsofts vollständig verwaltete SQL-Server-Umgebung in der Azure-Cloud — häufig als Datenbankbackend für Unternehmensanwendungen eingesetzt. Privilegienerweiterung in dieser Umgebung ist besonders ernst: Wer sich höhere Rechte erschleichen kann, hat potenziell Zugriff auf Datenbankdaten, Konfigurationen und weitere Ressourcen im Azure-Mandanten.

Azure Service Bus verbindet Anwendungen und Dienste über Warteschlangen und Topics miteinander — typischerweise in Microservice-Architekturen oder bei der Integration verschiedener Business-Systeme. Eine Kompromittierung des Service Bus kann im schlimmsten Fall manipulierte Nachrichten, unbemerkt eingefügte Befehle oder unterbrochene Integrationen bedeuten.

Was belegt ist — und was nicht

Nach Angaben des CERT-Bund existieren Patches für die beschriebenen Schwachstellen. Das ist die entscheidende Information: Die Lücken sind bekannt, Microsoft hat reagiert. Spezifische CVE-Nummern und CVSS-Werte sind im vollständigen Advisory unter der unten genannten Quelle einsehbar.

Nicht öffentlich im Detail beschrieben ist, ob die Schwachstellen bereits aktiv ausgenutzt werden. Nach aktuellem Kenntnisstand — Stand der CERT-Bund-Veröffentlichung — liegen keine Hinweise auf laufende Exploitation vor. Das kann sich ändern: Erfahrungsgemäß beginnen Angreifer kurz nach Advisory-Veröffentlichung damit, gepatchte Lücken rückwärts zu analysieren und ungepatchte Systeme zu sondieren.

Was Sie jetzt prüfen sollten

Microsoft Teams: Teams wird in den meisten Umgebungen automatisch aktualisiert — prüfen Sie im Microsoft 365 Admin Center unter „Integrität“ und „Update-Status“, ob alle Clients auf dem aktuellen Stand sind. Geräte, die längere Zeit offline waren oder über SCCM beziehungsweise Intune manuell verwaltet werden, sollten gezielt kontrolliert werden.

Azure Managed Instance: Öffnen Sie das Azure-Portal, navigieren Sie zu Ihren SQL Managed Instances und prüfen Sie den Patch-Status unter „Wartung“. Microsoft verteilt Sicherheitsupdates für Managed Instances in der Regel automatisch im konfigurierten Wartungsfenster — kontrollieren Sie, ob dieses Fenster für Ihre Instanzen aktiv gesetzt ist und wann zuletzt ein Update eingespielt wurde.

Azure Service Bus: Service Bus ist ein vollständig verwalteter Dienst — das Patching liegt primär bei Microsoft. Prüfen Sie dennoch eigene Konfigurationen: Zugriffsrichtlinien und Shared Access Signatures sollten auf minimale Berechtigungen überprüft werden. Zu weit gefasste Zugriffsrechte potenzieren das Risiko, wenn eine Infrastrukturschwachstelle ausgenutzt wird.

Aus dem Betrieb heraus: Auch bei vollständig verwalteten Cloud-Diensten lohnt es sich, Wartungsfenster aktiv zu konfigurieren und die Update-Historie regelmäßig zu kontrollieren — statt allein auf Automatik zu vertrauen. Ein Patch, der unbemerkt außerhalb des geplanten Fensters eingespielt wird, kann Produktivsysteme kurzfristig unterbrechen; wer das weiß, kann es einplanen.

Quellen: CERT-Bund — „WID-SEC-2026-2692: Microsoft Office: Mehrere Schwachstellen“ (https://wid.cert-bund.de/portal/wid/securityadvisory?name=WID-SEC-2026-2692)