Microsoft-Kalender
Diese Woche in der Sicherheit: Rekord-Patch-Tuesday, PHPs schlechte Phase, die älteste Sicherheitslücke, AI-Armeen und mehr – Microsoft hat mehr als 1.400 Sicherheitslücken auf einen Schlag geschlossen. Der vorherige Rekord kam im September. Die rund 1.000 Lücken im September erreichten etwa das Zehnfache des normalen Monatsdurchschnitts und stellten damit den bisherigen Rekord auf, und laut Tenable hat Microsoft zwei Monate vor Jahresende die Marke von 4.000 CVEs überschritten.
Nur eine der Lücken wird bereits ausgenutzt, und zwar die Windows-Shell-Sicherheitsfunktionsumgehung CVE-2026-96951, die Windows 10, 11 und einige Server-Versionen betrifft.
Windows-Worte
CVE-2026-108398 war zuvor bereits öffentlich bekannt gegeben worden. Mindestens 78 Lücken werden als „kritisch“ eingestuft, und die meisten ermöglichen die Ausführung von Code aus der Ferne ohne Benutzerinteraktion. Die meisten erlauben Remote-Code-Ausführung. Microsoft hat die kostenlosen Updates für Windows 10 stillschweigend bis Oktober 2027 verlängert. Das Unternehmen führt dies auf LLMs zurück.
TLS-Erklärungen
Laut der Analyse von Fortra sind in diesem Jahr nur 26 Microsoft-Lücken in den CISA-KEV-Katalog aufgenommen worden, und Administratoren wird dieser Katalog zur Priorisierung empfohlen.
Andererseits stellte sich heraus, dass die privaten Schlüssel von acht Zwischenzertifikaten – sechs TLS-, zwei Code-Signing-Zertifikate – der indischen Zertifizierungsstelle eMudhra (emSign) erbeutet wurden. Die Zertifikate waren an den emSign ECC Root CA – G3 angebunden, dem Chrome, Apple und Mozilla vertrauen. Ein Forscher namens „Wayne“ bewies den Sachverhalt, indem er mit den Schlüsseln Nachrichten signierte. Wie Flüpke auf Mastodon mitteilte, betrug der geheime Wert des Schlüssels „EM OV TLS CA – G3C“ lediglich 4; die anderen wurden ebenfalls in kurzer Zeit geknackt:
Die von Flüpke auf Mastodon geteilte Liste, die die geheimen Werte der Schlüssel zeigt, enthielt die folgenden sechs Einträge in derselben Reihenfolge und in ihrem ursprünglichen Format.
Zeitleiste der Schlüssel
Die Liste bestand aus sechs Werten. – 56 – 230 – 237 – 115 – 155 – 156 – 66
Es wurde angegeben, dass die Schlüssel seit dem Moment ihrer Erstellung im April 2025 aus öffentlich zugänglichen Zertifikaten abgeleitet werden konnten. Die Sperrung erfolgte schnell. The Hacker News zufolge veröffentlichte Chrome innerhalb von zwei Stunden eine Sperrung, während Mozilla die Zertifikate in weniger als drei Stunden sperrte, die Wurzel aus NSS entfernte und ein Firefox-Update veröffentlichte (CVE-2026-113470).