CVE-2026-45498: Denial-of-Service-Schwachstelle in Microsoft Defender, im Visier aktiver Ausnutzung

CVE-2026-45498: Denial-of-Service-Schwachstelle in Microsoft Defender, im Visier aktiver Ausnutzung

Kurz gesagt

CVE-2026-45498 ist eine Denial-of-Service-Schwachstelle (DoS) in Microsoft Defender [1], eingestuft mit mittlerem Schweregrad und einem CVSS-Wert von 4.0 [1]. Die aktive Ausnutzung ist bestätigt, da die Schwachstelle im CISA-KEV-Katalog für bekannte ausgenutzte Schwachstellen aufgeführt ist [2]. Betroffen ist Microsoft als Hersteller [1]. Wenn deine Organisation Windows mit Microsoft Defender einsetzt, solltest du heute prüfen, ob die Defender-Patches installiert sind und der Status des Antimalware-Dienstes wie gewohnt überwacht wird.

Was es ist und warum es wichtig ist

Laut offizieller Beschreibung handelt es sich um eine Denial-of-Service-Schwachstelle in Microsoft Defender [1]. In geschäftlichen Begriffen bedeutet das, dass ein Angreifer bewirken könnte, dass Defender selbst nicht mehr ordnungsgemäß funktioniert [1], was den aktiven Antimalware-Schutz auf dem betroffenen Gerät verringert. Die Schwachstelle ist laut NVD mit mittlerem Schweregrad und CVSS 4.0 registriert [1], ein auf der technischen Skala relativ niedriger Wert. Der Grund, warum sie dennoch Aufmerksamkeit verdient, liegt jedoch nicht in der Punktzahl, sondern darin, dass sie bereits im CISA-KEV-Katalog als aktiv ausgenutzt geführt wird [2]: Es handelt sich also nicht um ein theoretisches Risiko, sondern um etwas, das bereits in der realen Welt genutzt wird. Unser OCIRIA-Threat-Intelligence-Radar stuft diesen Fall gerade wegen dieser Kombination aus bestätigter Ausnutzung und Betroffenheit des zentralen Sicherheitstools von Windows als hochprioritär ein.

Wen es betrifft

Der betroffene Hersteller ist Microsoft [1], und die Schwachstelle befindet sich in Microsoft Defender. Defender ist standardmäßig in Windows integriert, weshalb jede Organisation, die dieses Betriebssystem nutzt, prüfen sollte, ob sie betroffen ist, wobei uns keine offizielle Zahl zur genauen Anzahl betroffener Geräte oder Organisationen vorliegt. Das registrierte Veröffentlichungsdatum ist der 20. Mai 2026 [1].

Wie du feststellst, ob du betroffen bist

Uns liegen keine öffentlichen Daten vor, die genaue betroffene Defender-Versionen oder technische Kompromittierungsindikatoren über das Veröffentlichte hinaus detailliert beschreiben. Deshalb lautet die allgemeine und umsichtige Empfehlung:

• Überprüfe den Aktualisierungsstatus von Microsoft Defender auf den Geräten der Organisation, insbesondere auf jenen, die sensible Daten oder kritische Infrastruktur verwalten.
• Stelle sicher, dass der Defender-Dienst aktiv ist und normal funktioniert, nicht nur installiert wurde.
• Überprüfe deine im Internet exponierte Angriffsfläche, um öffentlich sichtbare Windows-Systeme zu identifizieren, die einen einfacheren Einstiegspunkt für einen solchen Angriffsversuch darstellen könnten.

Wie du dich schützt

1. Installiere die verfügbaren Updates für Microsoft Defender und Windows so schnell wie möglich über die offiziellen Kanäle von Microsoft.

2. Überwache die Verfügbarkeit des Antimalware-Dienstes auf deinen Geräten: Wenn Defender unerwartet stoppt oder ausfällt, behandle dies als zu untersuchendes Signal, nicht als einfachen Einzelfehler.

3. Priorisiere die am stärksten exponierten Geräte, etwa solche mit direktem Internetzugang oder kritischen Geschäftsabläufen.

4. Dokumentiere die Patch-Maßnahmen, um bei Bedarf gegenüber Kunden, Prüfern oder Versicherern nachweisen zu können, dass die Organisation angesichts einer Schwachstelle mit bestätigter aktiver Ausnutzung mit gebotener Sorgfalt gehandelt hat [2].

5. Halte eine zusätzliche Sicherheitsebene aufrecht (Firewall, ergänzendes EDR, getestete Backups), um nicht von einem einzigen Schutzwerkzeug abhängig zu sein.

FAQ

Ist es eine kritische Schwachstelle?

Laut NVD ist der Schweregrad mittel und der CVSS-Wert liegt bei 4.0 [1], ein moderater technischer Wert. Relevant macht sie nicht die Punktzahl, sondern dass sie laut CISA KEV bereits aktiv ausgenutzt wird [2].

Was bedeutet es, dass sie einen Denial-of-Service in Defender verursacht?

Dass ein Angreifer bewirken kann, dass Microsoft Defender nicht mehr ordnungsgemäß funktioniert [1]. Es gibt keine offiziellen Daten darüber, ob dies für den Nutzer wahrnehmbar geschieht oder nicht, daher sollte kein nicht bestätigtes zusätzliches Verhalten als gegeben angenommen werden.

Muss ich handeln, auch wenn mein CVSS niedrig erscheint?

Ja. Die Aufnahme in den CISA-KEV-Katalog [2] zeigt bestätigte aktive Ausnutzung an, ein Kriterium, das viele Organisationen nutzen, um das Patchen über die numerische Bewertung hinaus zu priorisieren.

Wie erkenne ich, ob meine Systeme exponiert sind?

Zu überprüfen, welche Windows- und Defender-Assets vom Internet aus sichtbar sind, ist ein guter Ausgangspunkt, um das tatsächliche Risiko deiner Organisation zu bewerten.

Quellen

• [1] https://nvd.nist.gov/vuln/detail/CVE-2026-45498
• [2] https://raw.githubusercontent.com/cisagov/kev-data/develop/known_exploited_vulnerabilities.json