Microsoft hat im Mai 2026 knapp 140 Sicherheitslücken geschlossen, darunter mehrere als 'kritisch' eingestufte Schwachstellen in zentralen Produkten wie Windows, Azure und Office. Besonders bedrohlich ist eine Schwachstelle im DNS-Client von Windows (CVE-2026-41096) mit dem maximalen CVSS-Score von 10. Angreifer können über eine präparierte DNS-Anfrage Schadcode einschleusen, ohne sich authentifizieren zu müssen. Betroffen sind verschiedene Versionen von Windows 11 und Windows Server. Microsoft betont, dass keine aktiven Angriffe bekannt sind, rät aber dringend zur Aktualisierung.

Eine weitere kritische Lücke betrifft Azure DevOps (CVE-2026-42826), bei der Angreifer geschützte Informationen abrufen konnten. Microsoft hat diese serverseitig bereits behoben, sodass Administratoren hier keine Maßnahmen ergreifen müssen. Weitere betroffene Produkte sind Azure Managed Instance for Apache Cassandra und Microsoft Dynamics 365 On-Premises. Die meisten Schwachstellen wurden laut Microsoft mithilfe von KI-Agenten entdeckt.

Der Patchday unterstreicht, wie wichtig regelmäßige Updates sind – besonders bei Systemen, die im Netzwerk agieren. Obwohl die DNS-Lücke noch nicht ausgenutzt wurde, stellt sie ein hohes Risiko dar. Nutzer und Admins sollten sicherstellen, dass die automatische Windows-Update-Funktion aktiviert ist, um vollständig geschützt zu sein. Detaillierte Informationen finden sich im Microsoft Security Update Guide.