Microsoft: Kritische Zero-Day-Lücken bedrohen Windows-Systeme

Microsoft hat gestern sein letztes geplantes Sicherheitsupdate des Jahres veröffentlicht – und es hat es in sich. Insgesamt 57 Schwachstellen wurden geschlossen, darunter drei hochgefährliche Zero-Day-Lücken. Eine davon wird bereits aktiv von Angreifern ausgenutzt, um vollständige Systemkontrolle zu erlangen.

Sicherheitsexperten schlagen Alarm: Die Dezember-Updates müssen sofort installiert werden. Besonders brisant sind Schwachstellen in Microsoft Office, die ohne jeglichen Klick aktiviert werden können, sowie eine kritische Sicherheitslücke in einer Windows-Kernkomponente. Wer jetzt nicht handelt, öffnet Cyberkriminellen Tür und Tor.

Die gefährlichste Schwachstelle trägt die Bezeichnung CVE-2025-62221 und betrifft den Windows Cloud Files Mini Filter Driver – eine Komponente, die auf praktisch jedem Windows-System installiert ist. Dieser Treiber verwaltet Cloud-basierte Dateivorgänge und kommt bei Diensten wie Microsoft OneDrive, Google Drive oder iCloud zum Einsatz.

Was diese Lücke so gefährlich macht? Angreifer können sich damit SYSTEM-Rechte verschaffen – die höchste Berechtigungsstufe in Windows. Wer diese Privilegien besitzt, hat faktisch die Kontrolle über den gesamten Computer. Schadprogramme installieren, Daten auslesen, verändern oder löschen – alles wird möglich.

Passend zum Thema IT‑Sicherheit stehen viele Teams über die Feiertage oft ohne ausreichende Ressourcen da. Ein kostenloser Cyber‑Security‑Report erklärt, welche Schwachstellen Sie sofort priorisieren sollten, wie Sie Notfallpläne anstoßen und welche einfachen Maßnahmen Angreifern sofort den Zugang verwehren. Besonders praktisch: Checklisten für Administratoren und Kommunikationsvorlagen für das Incident‑Management. Jetzt kostenlosen Cyber-Security-Report herunterladen

„Es handelt sich um einen klassischen ‘Use-After-Free’-Fehler”, erklären Sicherheitsforscher von BleepingComputer. „Besonders tückisch: Der betroffene Treiber ist ein Kernel-Level-Treiber und standardmäßig auf Windows-Installationen vorhanden – selbst wenn keine Cloud-Speicherdienste aktiv genutzt werden.”

Die US-Cybersicherheitsbehörde CISA reagierte umgehend und nahm die Schwachstelle in ihren Katalog bekanntermaßen ausgenutzter Sicherheitslücken auf. Bundesbehörden in den USA müssen die Lücke bis zum 30. Dezember 2025 schließen. Eine Vorgabe, die auch deutschen Administratoren als Orientierung dienen sollte.

Office-Schwachstellen: Angriff ohne Klick

Neben der aktiv ausgenutzten Lücke schließt Microsoft zwei weitere kritische Schwachstellen in Office, die an alte Albträume erinnern: CVE-2025-62554 und CVE-2025-62557 ermöglichen Remote Code Execution – und können über die Vorschaufunktion in Outlook ausgelöst werden.

Was bedeutet das konkret? Ein Angreifer muss lediglich eine präparierte E-Mail versenden. Sobald das Opfer diese in der Outlook-Vorschau betrachtet – ohne sie zu öffnen – kann bereits Schadcode ausgeführt werden. Der Angreifer erhält die gleichen Rechte wie der angemeldete Benutzer.

„Im Worst-Case-Szenario genügt ein kurzer Blick auf die E-Mail-Liste”, warnt das Sicherheitsunternehmen Qualys. „Diese ‘Zero-Click’-Angriffsvektoren sind der Goldstandard für Phishing-Kampagnen und Ransomware-Gruppen.”

Zusätzlich wurde CVE-2025-62562 gepatcht, eine weitere kritische RCE-Lücke direkt in Outlook. Zwar ist hier die Vorschaufunktion nicht der Angriffsweg, doch die Kombination macht Office-Umgebungen ohne aktuelle Updates zu einem Hochrisikogebiet.

Öffentlich bekannte Lücken: GitHub Copilot und PowerShell im Visier

Zwei weitere Zero-Day-Schwachstellen wurden zwar noch nicht aktiv ausgenutzt, waren aber bereits vor der Verfügbarkeit eines Patches öffentlich bekannt. Diese Vorwarnung verschafft Angreifern oft einen gefährlichen Zeitvorsprung.

GitHub Copilot (CVE-2025-64671): Die KI-gestützte Programmierhilfe für JetBrains-IDEs weist eine Command-Injection-Schwachstelle auf. Angreifer können mittels „Cross Prompt Injection” schädliche Befehle in vermeintlich harmlose Dateien einschleusen – die KI führt diese dann unwissentlich aus. Ein beunruhigender Trend, der zeigt, wie KI-Tools selbst zur Angriffsfläche werden.

PowerShell (CVE-2025-54100): Diese Lücke erlaubt unauthentifizierten Angreifern, Code per Fernzugriff auszuführen. Angesichts der allgegenwärtigen Verbreitung von PowerShell in Unternehmensumgebungen birgt dies enormes Risiko für laterale Bewegungen innerhalb von Netzwerken.

Windows 10: Millionen Geräte potenziell ungeschützt

Die Dezember-Patches markieren einen kritischen Wendepunkt: Im Oktober endete offiziell der Support für Standard-Editionen von Windows 10. Nur Organisationen, die am Extended Security Update-Programm (ESU) teilnehmen, erhielten gestern das Update KB5071546 mit den dringend benötigten Sicherheitskorrekturen.

Alle anderen Windows-10-Nutzer – sowohl Privatanwender als auch Unternehmen ohne ESU-Lizenz – bleiben schutzlos gegenüber CVE-2025-62221 und anderen kritischen Schwachstellen zurück.

„Wir bewegen uns in eine gefährliche Fragmentierungsphase”, warnen Analysten von SecurityWeek. „Mit Millionen potenziell ungepatchter Windows-10-Geräte könnte die Cloud-Files-Lücke wurmähnliche Ausmaße annehmen.”

Die Patch-Flut hält unvermindert an: Laut dem Sicherheitsunternehmen Tenable hat Microsoft 2025 über 1.100 Schwachstellen geschlossen – das zweite Jahr in Folge mit mehr als 1.000 Patches. Eine Zahl, die sowohl die Komplexität des Windows-Ökosystems als auch die zunehmende Aggressivität von Sicherheitsforschern und Angreifern widerspiegelt.

Hochriskante Feiertage: Das Zeitfenster schließt sich

Sicherheitsteams stehen unter enormem Zeitdruck. Die Kombination aus einer aktiv ausgenutzten Privilege-Escalation-Lücke und „klicklosen” Office-Exploits schafft ideale Bedingungen für Cyberangriffe während der Feiertage. Ransomware-Gruppen intensivieren ihre Aktivitäten traditionell Ende Dezember – und spekulieren auf unterbesetzte IT-Abteilungen.

Sofortmaßnahmen:

• Workstations priorisieren: Windows 10/11 und Windows Server sofort patchen, um CVE-2025-62221 zu entschärfen
• Outlook-Vorschau deaktivieren: Bis Office-Updates installiert sind, sollten Administratoren die Vorschaufunktion per Gruppenrichtlinie deaktivieren
• ESU-Status überprüfen: Organisationen mit Windows 10 müssen sicherstellen, dass ihre ESU-Lizenzen aktiv sind – sonst greifen die gestrigen Updates nicht

Mit der CISA-Frist bis 30. Dezember läuft die Zeit. Wer jetzt nicht handelt, riskiert kompromittierte Systeme – und einen äußerst unangenehmen Jahreswechsel.

PS: Sie möchten Ihre Organisation ohne große Investitionen besser schützen? Der kostenlose Leitfaden „Cyber Security Awareness Trends“ fasst aktuelle Bedrohungen, praxisnahe Schutzmaßnahmen und sofort umsetzbare Empfehlungen für kleine IT-Teams zusammen. Ideal für Geschäftsführer und IT-Verantwortliche, die jetzt schnell handlungsfähige Schritte brauchen. Kostenlosen Cyber-Security-Leitfaden anfordern