Zwei Microsoft Defender Fehler, die in realen Umgebungen ausgenutzt werden, erhöhen Privilegien für SYSTEM und verursachen DoS dringenden Patch

Microsoft hat bestätigt, dass zwei Abstürzen in seiner Anti-Malware-Engine in realen Umgebungen aktiv genutzt wurden: ein Privileg Heben (CVE-2026-41091) qualifiziert mit 7.8 auf der CVSS-Skala und eine Denial of Service (CVE-2026-45498) mit 4.0-Score. Der erste erlaubt einem autorisierten Angreifer, auf SYSTEM Privilegien zu klettern durch ein Problem in der Auflösung von Links vor dem Zugriff auf Dateien, während die zweite den Dienst der Sicherheitskomponente unterbrechen kann. Beide Fehler wurden in den von Microsoft angegebenen Motorversionen geparkt, so dass das Update eine Priorität ist.

Die lokale Natur des Privilegs, die Verwundbarkeit zu erhöhen, bedeutet, dass der Angreifer einen gewissen anfänglichen Zugriff auf die Ausrüstung benötigt - zum Beispiel ein Benutzerkonto oder Codeausführung im eingeschränkten Kontext - und dann den Ausfall nutzen und die Kontrolle des Systems mit vollständigen Berechtigungen übernehmen. Dieser Sprung zu SYSTEM macht einen begrenzten Zugang zu einer integralen Invasion von Endpoint, mit der Fähigkeit, Kontrollen zu deaktivieren, Persistenz zu setzen oder sich seitlich innerhalb eines Netzes zu bewegen.

Microsoft hat darauf hingewiesen, dass Teams mit Microsoft Defender deaktiviert sind nicht anfällig für diesen besonderen Ausfall, aber disable security solutions ist keine akzeptable Minderung in produktiven Umgebungen: Es hinterlässt Systeme, die bekannten und unbekannten Bedrohungen ausgesetzt sind. Das Unternehmen akkreditierte mehrere Forscher für die Entdeckung und hat beide Fehler in seinem Korrekturkanal durch automatische Motor- und Definitionsaktualisierungen enthalten.

Wenn Sie Administrator oder Sicherheitsbeauftragter sind, überprüfen Sie, dass Microsofts Anti-Malware-Plattform in den Versionen ist, die diese Fehler korrigieren (z.B. Antimalware Platform 1.1.26040.8 und 4.18.26040.7 wie Microsoft berichtet). Sie können die offizielle Dokumentation überprüfen, wie Microsoft Defender und Kunden aktualisiert werden können: Wie man Microsoft Defender aktualisiert. Darüber hinaus erfordert die Einbeziehung dieser CVE in den CISA-Katalog ausgenutzter Schwachstellen bestimmte Bundesbehörden, in bestimmten Zeitrahmen abzuhelfen; den Katalog zu überprüfen, um die vollständige Liste und die Frist zu sehen: CISA KEV (Known Exploited Vulnerabilities).

Um den Status auf einem Windows-Computer zu überprüfen, öffnen Sie die Windows Security-Anwendung, überprüfen Sie den Virus-Schutz und Bedrohungen Abschnitt und überprüfen Sie die Schutz-Updates; im Bereich Über (Über) gibt es auch die Antimalware-Client-Versionsnummer, die bestätigt, wenn Sie die Korrektur erhalten. In verwalteten Umgebungen lohnt es sich, dass WSUS, Intune oder die von Ihnen verwendete Patch-Management-Lösung Motor-Updates korrekt bereitstellen und dass es keine Richtlinien gibt, die eine automatische Aktualisierung verhindern.

In Bezug auf Erkennung und Antwort überprüfen Sie Microsoft Defender-Datensätze (z.B. Ereignisse unter Microsoft-Windows Defender / Operational) und Ihre EDR-Benachrichtigungen für ungewöhnliche Post-Lokal-Aktivitäten: Erstellen von Diensten, Startänderungen, Handhabung der Antiviren-Engine oder Schreiben an geschützte Verzeichnisse. Bedrohungsjagd sollte sich auf lokale Aktivitäten konzentrieren, die vor Veränderungen im Sicherheitskontext und bei der Nutzung von symbolischen Links oder "Link folgenden" Techniken, die den Zugriff auf die Datei nutzen.

Jenseits von Patching, es gilt Kompensator-Kontrollen: es reduziert lokale Privilegien standardmäßig, Segmente Netzwerke und begrenzt die Implementierungsfähigkeit von nicht unterzeichneten oder nicht genehmigten Binaries; es verwendet Anwendung Einschränkung Richtlinien und weniger privilegierte Prinzipien, um Auswirkungen zu mindern, wenn eine lokale Schwachstelle ausgenutzt wird. Für Organisationen mit hoher Exposition, betrachten zunehmende Endpunkte-Telemetrie und ermöglichen automatisierte Antwortmechanismen, um engagierte Hosts schnell zu isolieren.

Das Erscheinen dieser Schwachstellen zusammen mit anderen kürzlich dem CISA-Katalog hinzugefügt betont, dass weder alte noch neue Versagen ignoriert werden sollten: Patchhygiene und kontinuierliche Überwachung bleiben die effektivsten Abwehrkräfte. Es priorisiert die Überprüfung von Aktualisierungen, koordiniert mit den operativen Teams die Verteilung der Patches und dokumentiert die Überprüfungen, um die Einhaltung der regulatorischen oder vertraglichen Anforderungen nachzuweisen.