WID-SEC-2026-1849: CERT-Bund aktualisiert Sammel-Advisory zu Windows-Schwachstellen — Patch-Stand jetzt gegenprüfen

Ein aktualisiertes CERT-Bund-Advisory klingt nach einer Formalie — meist ist es das auch, wenn nur ein Datum oder ein Textbaustein korrigiert wurde. Bei WID-SEC-2026-1849 geht es jedoch um mehrere Schwachstellen in verschiedenen Versionen von Microsoft Windows und Windows Server, die einem Angreifer nach aktuellem Kenntnisstand erlauben, Administratorrechte zu erlangen und beliebigen Code auszuführen — und genau das macht den Blick auf die Aktualisierung lohnend, selbst wenn Ihnen die ursprüngliche Fassung schon bekannt ist.

Was ist passiert?

CERT-Bund hat das Advisory WID-SEC-2026-1849 aktualisiert und mit der Einstufung „hoch“ versehen. Es handelt sich um ein Sammel-Advisory: Statt einer einzelnen CVE fasst es mehrere Schwachstellen zusammen, die in unterschiedlichen Versionen von Microsoft Windows und Microsoft Windows Server auftreten. Solche Sammel-Advisories sind bei CERT-Bund üblich, wenn ein Hersteller mehrere Fehler im selben Produktzweig gleichzeitig meldet — sie ersetzen keine Einzel-CVE-Betrachtung, sondern bündeln sie für die Übersicht.

Was ist belegt?

Nach der vorliegenden Kurzbeschreibung kann ein Angreifer die Schwachstellen ausnutzen, um Administratorrechte zu erlangen und beliebigen Code auszuführen. Die Kurzfassung deutet zusätzlich an, dass sich weitere Sicherheitsmechanismen umgehen lassen, bricht an dieser Stelle jedoch ab — welche Mechanismen genau betroffen sind, lässt sich aus dem uns vorliegenden Auszug nicht belegen. Ebenso fehlen in dieser Zusammenfassung die einzelnen CVE-Kennungen sowie eine genaue Aufschlüsselung, welche Windows- und Windows-Server-Versionsstände konkret betroffen sind.

Was ist derzeit unklar?

Unklar bleibt nach aktuellem Kenntnisstand, was die Aktualisierung des Advisories inhaltlich ausgelöst hat: ein nachträglich veröffentlichter Patch, eine erweiterte Liste betroffener Versionen oder eine Korrektur der Schweregrad-Einstufung sind alles plausible Gründe, lassen sich aus der Kurzfassung aber nicht unterscheiden. Ebenso öffentlich nicht unabhängig bestätigt ist, ob eine der Schwachstellen bereits aktiv ausgenutzt wird. Wer patchmanagementpflichtig ist, sollte daher nicht auf die Kurzmeldung vertrauen, sondern die Originalquelle unter der genannten WID-SEC-Kennung öffnen und dort die vollständige Versions- und CVE-Liste prüfen.

Welche praktischen Auswirkungen ergeben sich?

Die Kombination aus Rechteausweitung bis auf Administratorebene und beliebiger Codeausführung ist unabhängig von der genauen CVE-Zahl ernst zu nehmen: Beides zusammen erlaubt einem Angreifer im Erfolgsfall die vollständige Übernahme des betroffenen Systems. Besonders zu beachten ist das auf Systemen, die mehrere Nutzer gleichzeitig auf derselben Windows-Instanz bedienen, etwa Terminal-Server- beziehungsweise RDS-Hosts — dort betrifft eine lokale Rechteausweitung potenziell nicht nur einen einzelnen Arbeitsplatz, sondern alle angemeldeten Sitzungen auf demselben Host. Aus dem Betrieb solcher Mehrbenutzer-Umgebungen heraus ist das ein Grund, Advisories zu Windows-Privilegienerweiterungen nicht zu den Advisories zu zählen, die man erst beim nächsten regulären Wartungsfenster liest.

Was Sie jetzt prüfen sollten: Rufen Sie WID-SEC-2026-1849 im CERT-Bund-Portal auf und gleichen Sie die dort gelistete Versions- und CVE-Liste mit Ihrem Bestand ab. Anschließend prüfen Sie über Windows Update beziehungsweise WSUS, ob die zugehörigen Patches auf Ihren Windows- und Windows-Server-Systemen bereits eingespielt sind — priorisieren Sie dabei Mehrbenutzer-Hosts. In vielen Umgebungen lässt sich das kurzfristig umsetzen; bei komplexeren Abhängigkeiten, etwa gekoppelten Anwendungsservern, sollte der Patch vorher in einer Testumgebung geprüft werden.

Quellen: CERT-Bund — „[UPDATE] [hoch] Microsoft Windows: Mehrere Schwachstellen“ (https://wid.cert-bund.de/portal/wid/securityadvisory?name=WID-SEC-2026-1849)