Microsoft Windows: Kritisches Advisory WID-SEC-2026-1104 aktualisiert — Patch-Stand jetzt verifizieren

Ein UPDATE-Tag an einem kritisch eingestuften Sicherheitsadvisory ist kein Routinesignal. Advisory WID-SEC-2026-1104 — das kritische Hinweisblatt zu mehreren Schwachstellen in Microsoft-Windows-Produkten — liegt jetzt in aktualisierter Fassung vor, und die Kritisch-Einstufung bleibt bestehen. Die Kombination aus Privilegienerweiterung, Informationsoffenlegung, Sicherheitsumgehung und Codeausführung in einem einzigen Advisory macht diesen Fall ernst: Diese Angriffskategorien schichten sich aufeinander — wer erst privilegierte Rechte erlangt und dann Code ausführt, ist nicht mehr aufzuhalten.

Warum ein UPDATE-Tag mehr ist als eine Formalität

Ein Advisory wird aktualisiert, wenn sich der Sachverhalt geändert hat: neue betroffene Produkte oder Versionen, nachgereichte oder korrigierte Patches, oder eine veränderte Einschätzung der Ausnutzbarkeit. Das bedeutet in der Praxis: Wer WID-SEC-2026-1104 bei seiner Erstveröffentlichung gesehen, geprüft und als erledigt markiert hat, muss heute erneut ran. Ein einmalig abgehaktes Advisory ist kein Freifahrtschein.

Auch inhaltlich ist die UPDATE-Markierung bedeutsam. Wenn ein Advisory auf den Stand aktualisierter Patches zeigt, heißt das im Umkehrschluss: Patches, die vor dem Update eingespielt wurden, decken möglicherweise nicht alle Schwachstellen ab. Ein „das haben wir schon erledigt“ aus der Erstveröffentlichung ist damit nicht mehr valide.

Genau das ist das praktische Problem in vielen Organisationen: Patch-Tracking-Prozesse greifen die initiale Meldung, aber nicht deren Updates. Wenn kein aktives Monitoring auf Advisory-Updates steht — etwa per RSS-Feed oder Subscription —, fallen Nachfolgemeldungen durch den Raster. Bei einer Kritisch-Einstufung ist das ein Risiko, das man sich nicht leisten sollte.

Vier Angriffskategorien als Schweregradanker

Die Kritisch-Einstufung setzt voraus, dass die Schwachstellen im Hinblick auf Ausnutzbarkeit und potenzielle Auswirkung eine erhöhte Gefährdung darstellen. Bei WID-SEC-2026-1104 ist die Grundlage dafür eine besonders ungünstige Kombination von Angriffstypen:

• Privilegienerweiterung: Ein Angreifer mit eingeschränktem Zugang kann seine Rechte auf dem System ausweiten.
• Informationsoffenlegung: Schutzwürdige Daten aus dem Systemkontext sind auslesbar.
• Umgehung von Sicherheitsvorkehrungen: Schutzmechanismen können gezielt außer Kraft gesetzt werden.
• Ausführung beliebigen Codes: Der kritischste Punkt — Codeausführung kombiniert mit Privilegienerweiterung kann im schlechtesten Fall eine vollständige Systemübernahme ermöglichen.

Jede dieser Kategorien für sich wäre behandlungsbedürftig. Zusammen beschreiben sie einen Angriffspfad, der einen initialen Fußabdruck in eine vollständige Kompromittierung verlängern kann. Aus unserer Sicht ist das keine Konstellation, bei der man das Update auf das nächste reguläre Wartungsfenster verschiebt.

Drei konkrete Schritte für Administratoren

Erstens: Prüfen Sie im Advisory, welche Ihrer Windows-Versionen konkret erfasst sind. Die vollständige Produkt- und Versionsliste steht im Portal — die wenigen Minuten Aufwand lohnen sich, um nicht pauschal alle Systeme anzufassen oder versehentlich keines.

Zweitens: Spielen Sie die verfügbaren Patches ein. In vielen Umgebungen ist das über Windows Update, WSUS oder ein MDM-System innerhalb weniger Stunden erledigt — sofern keine komplexen Abhängigkeiten bestehen. Bei produktiven Systemen mit kritischen Applikationen lohnt ein kurzer Test im Staging-Bereich vor dem breiten Rollout.

Drittens: Richten Sie ein dauerhaftes Monitoring für Advisory-Updates ein. Das BSI bietet entsprechende Subscriptions an — kostenlos, und ein wesentlich zuverlässigerer Prozess als Einzelmeldungen manuell zu verfolgen. Wer nur auf die initiale Meldung reagiert, aber nicht auf deren Updates, betreibt unvollständiges Schwachstellenmanagement.

Ein Punkt, der in der Praxis oft übersehen wird: Das Planen eines Patches ist nicht dasselbe wie das Verifizieren, dass er eingespielt ist. `winver`, `wmic qfe list` oder ein Patch-Management-Dashboard zeigen den tatsächlichen Stand — nicht den geplanten.

Quellen: CERT-Bund — „[UPDATE] [kritisch] Microsoft Windows: Mehrere Schwachstellen“ (https://wid.cert-bund.de/portal/wid/securityadvisory?name=WID-SEC-2026-1104)