Microsoft-Patchday: Angreifer nutzen drei Lücken in Hyper-V aus
Microsoft hat wichtige Sicherheitsupdates unter anderem für Azure, Office und Windows veröffentlicht. Es laufen bereits Attacken.
Updates sind verfügbar.
(Bild: Bild erstellt mit KI in Bing Designer durch heise online / dmk)
Derzeit attackieren Angreifer verschiedene Windows- und Windows-Server-Versionen. Einfallstore sind drei Schwachstellen in der Virtualisierungstechnik Hyper-V. Weitere Windows-Lücken sind öffentlich bekannt, sodass anstehende Attacken naheliegen. Darüber kann unter anderem Schadcode auf Systeme gelangen. Dementsprechend sollten Admins sicherstellen, dass Windows Update aktiv ist und die aktuellen Sicherheitspatches installiert sind.
Jetzt patchen!
Die drei ausgenutzten Hyper-V-Lücken (CVE-2025-21333, CVE-2025-21334, CVE-2025-21335) hat Microsoft mit dem Bedrohungsgrad "hoch" eingestuft. Sie betreffen verschiedene Ausgaben von Windows 10 und 11 und außerdem Windows Server 2022 und 2025. Wie Attacken konkret ablaufen, ist bislang nicht bekannt. Microsoft führt aus, dass sich Angreifer über die Schwachstellen System-Rechte verschaffen.
Videos by heise
In so einer Position ist davon auszugehen, dass Computer als vollständig kompromittiert gelten. In welchem Umfang die Attacken stattfinden, bleibt unklar. Weitere Lücken in Access (etwa CVE-2025-21186 "hoch"), App Package Installer (CVE-2025-21275 "hoch") und Windows Themes (CVE-2025-21308 "hoch") sind öffentlich bekannt und es könnten Angriffe bevorstehen. An diesen Schwachstellen können Angreifer unter anderem mit präparierten E-Mails ansetzen und Schadcode ausführen.
Weitere Gefahren
Mehrere Windows-Lücken sind als "kritisch" eingestuft. Hier können sich Angreifer beispielsweise im Kontext von NTLM V1 höhere Nutzerrechte verschaffen (CVE-2025-21311) oder Outlook kann sich an manipulierten Mails verschlucken, sodass Angreifer Schadcode aus der Ferne ausführen können (CVE-2025-21298).
Weitere Lücken betreffen Excel, SharePoint und mehrere Windows-Komponenten. Weiterführende Information zu allen an diesem Patchday geschlossenen Lücken listet Microsoft im Security Update Guide auf.
(des)
