Microsoft Patch Tuesday Mai 2026: 120 Schwachstellen behoben

Überblick: 120 CVEs, 17 als kritisch eingestuft

Mit dem Mai 2026 Patch Tuesday hat Microsoft am 12. Mai 2026 insgesamt 120 Sicherheitslücken über das gesamte Produktportfolio geschlossen. Davon stuft der Hersteller 17 Schwachstellen als „Critical“ ein. Im Gegensatz zu vielen Monaten zuvor sind nach derzeitigem Stand keine Zero-Days dabei — weder öffentlich bekannte noch aktiv ausgenutzte Schwachstellen wurden zum Veröffentlichungszeitpunkt gemeldet.

Der Schwerpunkt liegt eindeutig auf dokumentbasierten Angriffsvektoren in Office und Word sowie auf netzwerkexponierten Authentifizierungs- und Namensauflösungskomponenten im Windows-Server-Stack. Sieben kritische CVEs entfallen auf Windows-Komponenten, sechs auf die Office-Suite und drei auf SharePoint & Services.

Netlogon und DNS Client: Pre-Auth-RCE im Authentifizierungs-Stack

Die aus operativer Sicht gefährlichsten Lücken des Monats betreffen zwei netzwerkexponierte Windows-Server-Komponenten, die im Active-Directory-Betrieb eine zentrale Rolle spielen. Beide ermöglichen Remote Code Execution ohne Authentifizierung — ein klassisches Wormable-Profil.

Laut Qualys-Analyse beruht CVE-2026-41089 auf einem Stack-basierten Buffer Overflow in Netlogon, der durch eine speziell präparierte Netzwerk-Anfrage an einen Domain Controller ausgenutzt werden kann. CVE-2026-41096 hingegen wird über einen vom Angreifer kontrollierten DNS-Server getriggert: Ein speziell konstruierter DNS-Response gegen einen anfragenden Windows-Client führt zur Code-Ausführung. Die DNS-Client-Lücke ist damit auch in Szenarien gefährlich, in denen Domain Controller selbst nicht direkt erreichbar sind.

Office & Word: Sieben kritische RCEs, ein Preview-Pane-Vektor

Im Mai-Release sind sieben kritische RCE-Lücken in Office und Word enthalten. Sie werden überwiegend durch präparierte Dokumente ausgelöst — klassisch über das Öffnen, in einem Fall jedoch besonders kritisch über das Preview-Pane im Windows Explorer oder Outlook. Damit reduziert sich die für eine Ausnutzung notwendige Nutzerinteraktion auf das bloße Markieren der Datei.

SharePoint Server & Dynamics 365: On-Prem-Anwendungen im Fokus

Auf On-Prem-Seite zieht Microsoft fünf SharePoint-RCE-Schwachstellen sowie eine kritische Lücke in Dynamics 365 On-Premises ein. Während die SharePoint-Lücken überwiegend authentifizierte Vektoren voraussetzen, ist die Angriffsfläche bei aus dem Internet erreichbaren Collaboration-Servern erfahrungsgemäß deutlich größer als bei reinen LAN-Deployments — etwa durch Self-Service-Accounts, Föderationen oder Drittpartei-Zugänge.

# Build-Versionen der SharePoint-Farm auslesen
Get-SPFarm | Select-Object BuildVersion

# Patchstatus aller Server in der Farm
Get-SPProduct | Select-Object ProductName, Patchable, PatchableUnitDisplayNames

# Kumulative Updates für SharePoint Server 2019
Get-WmiObject -Class Win32_QuickFixEngineering |
  Where-Object { $_.HotFixID -match 'KB' } |
  Sort-Object InstalledOn -Descending |
  Select-Object -First 10 HotFixID, Description, InstalledOn

Empfohlene Patch-Priorisierung

Da kein Zero-Day-Druck besteht, lässt sich der Rollout dieses Monats geordnet planen. Maßgeblich ist die Exponierung der jeweiligen Komponente: Authentifizierungsstack vor Internet-Anwendungen vor Endgeräten vor passiver Infrastruktur.

# Aktuelle KB-Patches der letzten 30 Tage
Get-HotFix |
  Where-Object { $_.InstalledOn -gt (Get-Date).AddDays(-30) } |
  Sort-Object InstalledOn -Descending |
  Format-Table HotFixID, Description, InstalledOn -AutoSize

# Windows-Update-Verlauf via PSWindowsUpdate (Modul muss installiert sein)
Get-WUHistory | Select-Object Date, Title, Result -First 15

# Domain Controller schnell identifizieren
Get-ADDomainController -Filter * |
  Select-Object Name, OperatingSystem, OperatingSystemVersion

Fazit: Ruhiger Monat ohne Zero-Day — aber kein Anlass zur Entspannung

Der Mai-2026-Release ist quantitativ einer der umfangreicheren Patch Tuesdays, qualitativ aber durch das Fehlen aktiv ausgenutzter Zero-Days entspannter als die Vormonate. Das gibt Sicherheitsteams Spielraum für einen geordneten, getesteten Rollout — bedeutet aber nicht, dass die Lücken trivial wären. Insbesondere die Netlogon-RCE und der Word-Preview-Pane-Vektor sind klassische Bausteine für künftige Angriffsketten und absehbar Gegenstand öffentlicher Exploit-Demos.

Unsere Empfehlung: Priorisieren Sie domänenrelevante Server, gefolgt von Internet-exposed Services und Office-Clients, und nehmen Sie diesen Release als Anlass, Ihren Vulnerability-Management-Prozess strukturell zu überprüfen — nicht nur einen einzelnen Patch-Zyklus.