Für seinen dritten Patch-Dienstag im Jahr 2026 behebt Microsoft mehr als 80 Sicherheitslücken, die seine Produkte betreffen. Der Monat Februar, der weniger Patches enthielt, war von sechs Zero-Day-Schwachstellen geprägt, die für Angriffe ausgenutzt wurden. Für diesen Monat März ist die Situation anders.
Wenn Microsoft für zwei Schwachstellen eine Zero-Day-Definition beibehält, liegt dies nur an der öffentlichen Offenlegungaber ohne Heldentaten in der Natur, die es zu beklagen gäbe. Mit anderen Worten: Vor dem Erscheinen des Rettungspatches wurde keine aktive Ausnutzung beobachtet.
Die beiden öffentlich bekannt gegebenen Schwachstellen
CVE-2026-26127 ist eine Denial-of-Service-Schwachstelle im .NET Framework, während CVE-2026-21262 ist eine Sicherheitsanfälligkeit bezüglich der Erhöhung von Berechtigungen in SQL Server, die es einem autorisierten Angreifer ermöglicht, Systemadministratorrechte im Netzwerk zu erlangen.
“ Zum jetzigen Zeitpunkt stellen diese Schwachstellen ein relativ begrenztes Ausnutzungsrisiko dar. Es wird davon ausgegangen, dass die Denial-of-Service-Schwachstelle wahrscheinlich nicht ausgenutzt werden kann und ein Angreifer bereits über autorisierten Zugriff verfügen muss. Es wird auch davon ausgegangen, dass der Fehler bei der Rechteausweitung weniger wahrscheinlich ausgenutzt wird „, kommentiert das Cybersicherheitsunternehmen Tenable.
Tenable weist darauf hin, dass mehr als die Hälfte der für diesen Monat März behobenen Schwachstellen Privilegeskalationen betreffen. Bei sechs davon wird davon ausgegangen, dass die Wahrscheinlichkeit höher ist, dass sie ausgenutzt werden, und sie wirken sich insbesondere auf die Windows-Grafikkomponente, die Windows Accessibility Infrastructure, den Windows-Kernel, den Windows SMB-Server und Winlogon aus.
Mehrere kritische Mängel verdienen Beachtung
Wenn es um kritische Schwachstellen geht, sind die Schwachstellen zur Remotecodeausführung CVE-2026-26110 und CVE-2026-26113 in Microsoft Office sind hervorzuheben. Sie können durch die Anzeige einer abgefangenen Nachricht im Vorschaufenster ausgelöst werden, ohne dass der Benutzer die Datei überhaupt öffnen muss.
Ebenfalls kritisch und vom Typ Remote-Codeausführung ist der Fehler CVE-2026-21536 Das Microsoft Devices Pricing Program zeichnet sich durch seine Entdeckung durch eine autonome KI aus. In diesem Fall hat der Agent namens XBOW es identifiziert, ohne Zugriff auf den Quellcode zu haben.
Art der Offenlegung von Informationen, CVE-2026-26144 in Excel hebt einen neuen Angriffsvektor hervor. Der kritische Fehler (Cross-Site-Scripting) kann genutzt werden, um den Copilot-Assistenten für Excel zu erzwingen um Daten über unbeabsichtigten Netzwerkausgang herauszufiltern.
