Jetzt patchen: Windows-Systeme anfällig für Schadcode-Attacken
Microsoft hat zum September-Patchday über all seine Produkte hinweg mehr als 90 Sicherheitslücken geschlossen. Einige davon ermöglichen es Angreifern, aus der Ferne Schadcode auf anfällige Zielsysteme zu schleusen und zur Ausführung zu bringen. Anwender, die sich vor möglichen Attacken schützen wollen, sollten zeitnah die neuesten Patches für Windows, Office und andere Microsoft-Lösungen einspielen.
Mit einem Wert von 9,8 erreicht in diesem Monat die RCE-Lücke CVE-2025-55232(öffnet im neuen Fenster) das höchste CVSS-Rating. Sie ermöglicht eine Schadcodeausführung auf Systemen, auf denen das HPC-Pack (High-Performance Computing) der Jahrgänge 2016 oder 2019 installiert ist. Die Software dient der Verwaltung von HPC-Clustern(öffnet im neuen Fenster) in Unternehmen.
Laut Microsoft lässt sich CVE-2025-55232 aus der Ferne und ohne vorherige Authentifizierung oder Nutzerinteraktion ausnutzen. Microsoft hält eine Ausnutzung der Lücke zwar für "weniger wahrscheinlich" , bescheinigt ihr aber dennoch eine geringe Angriffskomplexität, was sie für Angreifer umso attraktiver macht.
Auch VM-Ausbrüche sind möglich
Ebenfalls als sehr gefährlich gelten zwei RCE-Schwachstellen, die die Grafikkomponente von Windows ( CVE-2025-55228(öffnet im neuen Fenster) ) sowie die Virtualisierungslösung Hyper-V ( CVE-2025-55224(öffnet im neuen Fenster) ) betreffen und jeweils auf einer Race Condition basieren. Obwohl beide nur einen CVSS-Wert von 7,8 aufweisen, was einem hohen Schweregrad gleichkommt, stuft Microsoft diese Lücken sogar als kritisch ein.
Beide Sicherheitslücken ermöglichen es einem Angreifer mit einfachen Benutzerrechten auf einem Zielsystem Schadcode zur Ausführung zu bringen. Die Tücke liegt hier jedoch im Detail: Der Zugriff muss nur innerhalb eines Hyper-V-Gastsystems gegeben sein. Die Schadcodeausführung erfolgt jedoch auf dem Host. Angreifer können also beide Lücken ausnutzen, um aus virtuellen Maschinen auszubrechen.
Insgesamt hat Microsoft zum September-Patchday Patches für 86 eigene sowie fünf Sicherheitslücken aus Drittanbieter-Lösungen bereitgestellt(öffnet im neuen Fenster) . Die HPC-Lücke wird durch das HPC Pack 2019 Update 3 (Build 6.3.8328) geschlossen. Wer noch das HPC Pack 2016 verwendet, muss für den Patch auf die 2019er Version migrieren. Aber auch für Microsoft Office, Windows 10, Windows 11 und alle gängigen Windows-Server-Versionen sind neue Patches verfügbar.