Microsoft behebt 22 Schwachstellen: Entra ID bereits abgesichert, ShieldBreak bleibt ohne Patch

Microsoft hat am Donnerstag die Veröffentlichung von 22 Sicherheitsupdates angekündigt. Die meisten betreffen Cloud-Dienste und wurden bereits serverseitig entschärft. Die nach dem CVSS-Score schwerwiegendste Schwachstelle ist eine Remote Code Execution in Microsoft Entra ID, die als CVE-2026-69836 identifiziert wurde. Einige Quellen haben sie als Zero-Day beschrieben, der in Angriffen ausgenutzt wird. Das offizielle Advisory von Microsoft widerspricht diesem Umstand. Offen bleibt hingegen das Thema ShieldBreak, eine Zero-Day-Schwachstelle in Microsoft Defender, für die weiterhin kein Patch verfügbar ist.

CVE-2026-69836: Eine kritische RCE in Entra ID, bereits von Microsoft entschärft

Die Schwachstelle CVE-2026-69836 betrifft die Deserialisierung nicht vertrauenswürdiger Daten in Microsoft Entra ID. Sie ist als CWE-502 klassifiziert. Der CVSS-3.1-Vektor lautet AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. Der Base Score beträgt 10,0, das Maximum. Ein nicht authentifizierter Angreifer kann Code über das Netzwerk ausführen, ohne dass Zugangsdaten oder Benutzerinteraktion erforderlich sind.

Nach Microsofts zeitlicher Bewertung sinkt der Score auf 8,7. Die zeitlichen Komponenten sind: Exploit Code Maturity „unproven“, Remediation Level „official fix“, Report Confidence „confirmed“.

Das offizielle MSRC-Advisory wurde am 20. August 2026 veröffentlicht. Die letzte Aktualisierung erfolgte am 21. August 2026. Microsoft erklärt, dass die Schwachstelle serverseitig bereits vollständig entschärft ist. Kundenseitig ist keine Maßnahme erforderlich. Zweck der Veröffentlichung ist Transparenz, wie im Dokument „Toward greater transparency: Unveiling Cloud Service CVEs“ erläutert. Die Anerkennung geht an Robert Fitzpatrick von Microsoft.

Zero-Day ausgenutzt oder nicht? Die Diskrepanz zwischen SecurityWeek und dem MSRC-Advisory

SecurityWeek hat CVE-2026-69836 als „Zero-Day exploited in attacks“ beschrieben. Der Artikel fügte hinzu, dass Microsoft keine Informationen über die Angriffe geteilt habe. Das offizielle MSRC-Advisory zeichnet jedoch ein anderes Bild. Bei der ursprünglichen Veröffentlichung standen die Felder „Publicly Disclosed“ und „Exploited“ beide auf „No“. Die Ausnutzbarkeitsbewertung lautete „Exploitation Less Likely“.

Revision 1.1 vom 21. August hat das Feld „Exploited“ auf „No“ korrigiert. Die Anmerkung präzisiert, dass die Schwachstelle nicht in freier Wildbahn ausgenutzt wurde. Es handelt sich um eine rein informative Änderung. Leser müssen daher beide Versionen berücksichtigen: Die journalistische Beschreibung spricht von aktiver Ausnutzung, doch das offizielle Advisory verneint eine Ausnutzung. Die Diskrepanz ist aus den verfügbaren Quellen bislang nicht geklärt.

Die weiteren Schwachstellen mit CVSS-Score 10: Azure, Exchange Online, Azure Arc

Das August-Paket umfasst fünf weitere Schwachstellen mit einem Base Score von 10,0 in der NVD-Datenbank. Alle beschreiben einen nicht authentifizierten Angreifer, der über das Netzwerk agiert. CVE-2026-65770 betrifft Azure Managed Instance for Apache Cassandra und ist eine Argument Injection (CWE-88). CVE-2026-65801 betrifft Microsoft Exchange Online und ist eine SSRF (CWE-918). CVE-2026-65816 betrifft Azure Arc und ist eine fehlerhafte Verwendung von Namen oder Referenzen (CWE-706). CVE-2026-69502 betrifft Azure SQL Database und ist eine SSRF (CWE-918). CVE-2026-69555 betrifft erneut Azure Arc und ist eine fehlerhafte Autorisierung (CWE-863).

Der CVSS-3.1-Vektor ist für alle identisch: AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H, ausgenommen CVE-2026-69502 und CVE-2026-69555, bei denen die Auswirkung auf die Verfügbarkeit „None“ (A:N) ist. Trotzdem bleibt der Base Score aufgrund des Scope „Changed“ und der Auswirkungen auf Vertraulichkeit und Integrität bei 10,0. Microsoft hat alle diese Schwachstellen bereits serverseitig entschärft. Kundenseitig ist keine Maßnahme erforderlich.

Weitere kritische Schwachstellen und das Cloud-Paket

SecurityWeek listet sieben weitere kritische Schwachstellen zur Rechteausweitung auf, die alle im selben Zyklus behoben wurden. CVSS-Scores oder -Vektoren werden dafür nicht angegeben. Die Kennungen lauten: CVE-2026-68782, CVE-2026-68789 und CVE-2026-66309 für Azure SQL Database; CVE-2026-63509 für Microsoft Fabric; CVE-2026-69851 für Entra ID; CVE-2026-69400 für Azure Logic Apps; CVE-2026-62834 für „Azure Data Factor“ (vermutlich ein Tippfehler für Azure Data Factory).

Für CVE-2026-68782 ergibt sich ein CVSS-Score von 9,9 mit dem Vektor AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H. Die übrigen haben in den verfügbaren Quellen keine öffentlichen Scores.

Die Quelle nennt außerdem Schwachstellen hoher Schwere, die in Azure Virtual Machines, Microsoft Partner Center, Azure Data Factory, Azure Stack HCI, Azure Data Manager for Energy, Copilot in Azure und Windows Remote Help Defense behoben wurden, ohne einzelne CVE-Kennungen aufzulisten. Auch hier sind die meisten Cloud-Schwachstellen bereits serverseitig entschärft.

Copilot: Command Injection noch in dieser Woche behoben

SecurityWeek berichtet, dass Microsoft „earlier this week“ eine hochriskante Command-Injection-Schwachstelle in Copilot behoben hat. Die Schwachstelle ist als CVE-2026-24301 identifiziert. Die journalistische Beschreibung gibt an, sie sei aus der Ferne zur Offenlegung von Informationen ausnutzbar. Der vollständige CVSS-3.1-Vektor mit Score 8,8 lautet AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H. Die Korrektur wurde bereits verteilt; für Kunden sind keine weiteren Maßnahmen angegeben.

ShieldBreak: Die Schwachstelle in Defender bleibt ohne offiziellen Patch

Letzte Woche hat Microsoft angekündigt, an einem Patch für ShieldBreak zu arbeiten. Dabei handelt es sich um einen Zero-Day-Exploit für Microsoft Defender, der während des Patch Tuesday im August 2026 vom Forscher Nightmare Eclipse, auch bekannt als Chaotic Eclipse, veröffentlicht wurde. Die angegriffene Schwachstelle ist eine Rechteausweitung im Microsoft Malware Protection Engine, identifiziert als CVE-2026-69414. Der CVSS-Score beträgt 7,8, Schweregrad hoch.

Microsoft erklärte: „Microsoft ist sich einer Rechteausweitung im Microsoft Malware Protection Engine in Microsoft Defender bewusst, die öffentlich als ‚ShieldBreak‘ bekannt ist. Wir arbeiten daran, ein qualitativ hochwertiges Sicherheitsupdate bereitzustellen, das die Schwachstelle behebt.“ Zum Zeitpunkt der Quelle ist der Patch noch nicht verteilt. Es werden weder Workarounds noch Zeitpläne genannt.

Was Nutzer tun sollten

Für die meisten der angekündigten Schwachstellen müssen Nutzer nichts anwenden. Die Entschärfungen für Cloud-Dienste wie Entra ID, Azure SQL Database, Exchange Online und andere wurden von Microsoft bereits serverseitig verteilt. Für Copilot ist die Korrektur bereits aktiv. Für ShieldBreak existiert dagegen noch kein offizieller Patch, und es sind keine Workarounds verfügbar. Administratoren sollten das Microsoft-Bulletin im Hinblick auf das Erscheinen des Updates beobachten.

Die genauen betroffenen Produktversionen wurden nicht bekannt gegeben. Es ist nicht angegeben, ob die Schwachstellen in den KEV-Katalog der CISA aufgenommen wurden oder ob operative Fristen gelten. Wer Infrastrukturen mit Microsoft Defender betreibt, sollte CVE-2026-69414 mit hoher Aufmerksamkeit verfolgen und in den kommenden Stunden oder Tagen auf Updates prüfen.