Der Stand der Identitätssicherheit im Zeitalter der KI – Lesen Sie den Bericht hier.

CVE-Entdeckungen

Sehen Sie sich die Liste der Sicherheitshinweise zum Thema Identitätssicherheit an, die vom Semperis Identity Security Research Team – weltweit anerkannten Experten für Bedrohungsforschung – zusammengestellt wurden. Weitere Informationen zu unserem Forschungsprogramm finden Sie in der Identity Security Research Library.

Alle Schweregrade
  • Alle Schweregrade
  • Wichtig
  • Hoch
  • Kritisch
Neueste zuerst
  • Neueste zuerst
  • Die ältesten zuerst
CVE-ID Beschreibung Betroffenes Produkt Art der Sicherheitslücke CWE CVSS-Wert
Schweregrad
  • Alle
  • Wichtig
  • Hoch
  • Kritisch
Veröffentlicht
  • Neueste zuerst
  • Die ältesten zuerst
 Überarbeitet von
CVE-2022-37994 Sicherheitslücke im „Group Policy Client“ von Windows, die eine Berechtigungserweiterung ermöglicht – eine mit CVE-2022-37993 verwandte Sicherheitslücke, die eine lokale Berechtigungserweiterung über dieselbe „Group Policy Client“-Komponente ermöglicht. Windows 10/11, Windows Server 2008–2022 Erweiterung von Berechtigungen CWE-264 / CWE-284 (Berechtigungen, Zugriffsrechte und Zugriffskontrollen). 7.8 Hoch 11.10.2022 Microsoft (Patch Tuesday im Oktober 2022)
CVE-2022-37993 Sicherheitslücke bei der Berechtigungserweiterung des Windows Policy – ermöglicht es einem authentifizierten lokalen Angreifer, über Schwachstellen im Policy Client erweiterte Berechtigungen zu erlangen. Windows 10/11, Windows Server 2008–2022 Erweiterung von Berechtigungen CWE-264 / CWE-284 (Berechtigungen, Zugriffsrechte und Zugriffskontrollen). 7.8 Hoch 11.10.2022 Microsoft (Patch Tuesday im Oktober 2022)
CVE-2024-38100 Sicherheitslücke im Windows-Datei-Explorer zur Rechteausweitung – nutzt das ShellWindows-DCOM-Objekt ({9BA05972-F6A8-11CF-A442-00A0C90A8F39}) aus, um Rechte zu erweitern und NetNTLM-Hashes aus beliebigen Sitzungen offenzulegen (FakePotato-Technik). Windows Server 2016/2019/2022 Erweiterung von Berechtigungen CWE-284 (Unzureichende Zugriffskontrolle). 7.8 Hoch 09.07.2024 Microsoft (Patch Tuesday im Juli 2024, KB5040434)
CVE-2023-21746 Sicherheitslücke bei Windows NTLM zur Ausweitung von Berechtigungen (LocalPotato) – nutzt eine Schwachstelle bei der lokalen NTLM-Authentifizierung aus (NTLM-Reflexionsangriff) und ermöglicht so das willkürliche Lesen und Schreiben von Dateien sowie die Ausweitung von Berechtigungen. Windows 10/11, Windows Server 2012–2022 Erweiterung von Berechtigungen CWE-284 / CWE-269 (Unzureichende Zugriffskontrolle / Berechtigungsverwaltung). 7.8 Hoch 10.01.2023 Microsoft (Patch Tuesday im Januar 2023)
CVE-2022-37975 Sicherheitslücke bei Policy ermöglicht – ermöglicht es einem authentifizierten Angreifer, über eine Schwachstelle bei Policy seine Rechte auszuweiten; höherer CVSS-Wert als bei den „Preference Client“-Varianten. Windows 10 v1809 und höher, Windows Server 2019/2022 Erweiterung von Berechtigungen CWE-269 (Unsachgemäße Verwaltung von Berechtigungen). 8.8 Hoch 10.11.2022 Microsoft (Patch Tuesday im November 2022)
CVE-2022-37992 Sicherheitslücke bei Policy von Berechtigungen – Ein authentifizierter lokaler Angreifer kann Schwachstellen bei Policy ausnutzen, um von einem Benutzer mit geringen Berechtigungen auf ein Konto mit erweiterten Zugriffsrechten zu wechseln. Windows 10/11 (multiple versions)<br>Windows Server 2012–2022 Erweiterung von Berechtigungen CWE-264 / CWE-284 (Berechtigungen, Zugriffsrechte und Zugriffskontrollen). 7.8 Wichtig 08.11.2022 Microsoft (Patch Tuesday im November 2022)
CVE-2025-58726 Sicherheitslücke bei Windows SMB-Server mit Rechtenausweitung – Eine fehlerhafte Zugriffskontrolle in der SMB-Server-Komponente ermöglicht es einem autorisierten Netzwerkangreifer mit geringen Berechtigungen, seine Rechte aus der Ferne und ohne Benutzereingriff zu erweitern. Windows 10 v1507 (und spätere Versionen) Erweiterung von Berechtigungen CWE-284 (Unzureichende Zugriffskontrolle). 7.5 Hoch 14.10.2025 Microsoft (Patch Tuesday im Oktober 2025)
CVE-2025-64669 Sicherheitslücke im Windows Admin Center mit Rechtenausweitung – Unsichere Verzeichnisberechtigungen im Windows Admin Center (bis einschließlich Version 2.4.2.1 / WAC 2411) ermöglichen es einem lokalen Angreifer mit geringen Berechtigungen, seine Rechte auf die SYSTEM-Ebene zu erweitern. Windows Admin Center ≤ 2.4.2.1 (WAC 2411) Erweiterung von Berechtigungen CWE-284 (Unzureichende Zugriffskontrolle). 7.8 Hoch 11.12.2025 Microsoft (Patch Tuesday im Dezember 2025)
CVE-2026-20929 Sicherheitslücke in Windows HTTP.sys mit Rechtenausweitung – Eine fehlerhafte Zugriffskontrolle in Windows HTTP.sys ermöglicht es einem autorisierten Netzwerkangreifer, seine Rechte auszuweiten; grundlegende Korrektur, bei der die EPA-Anforderungen (Extended Protection for Authentication) rückportiert wurden. Windows (verschiedene Versionen) Erweiterung von Berechtigungen CWE-284 (Unzureichende Zugriffskontrolle). 7.6 Hoch 13.01.2026 Microsoft (Patch Tuesday im Januar 2026)
CVE-2026-21529 Sicherheitslücke bei Azure HDInsight im Zusammenhang mit Spoofing – Eine unsachgemäße Neutralisierung von Eingaben bei der Generierung von Webseiten („Cross-Site-Scripting“) in Azure HDInsight ermöglicht es einem autorisierten Angreifer, über ein Netzwerk Spoofing-Angriffe durchzuführen. Azure HDInsight Spoofing CWE-79 (Unsachgemäße Neutralisierung von Eingaben bei der Erstellung von Webseiten / Cross-Site-Scripting). 5.7 Wichtig 10.02.2026 Microsoft (Patch Tuesday im Februar 2026)
CVE-2026-26119 Sicherheitslücke im Windows Admin Center mit Berechtigungserweiterung – Netzwerkbasierter Fehler im Windows Admin Center, der eine Berechtigungserweiterung ermöglicht; wurde nach dem HTTP.SYS-Kernel-Patch vom Januar 2026 außerplanmäßig behoben; Einführung von SetProperty(HttpServerChannelBindProperty) zur Durchsetzung von CBT. Windows Admin Center Erweiterung von Berechtigungen CWE-287 (Unzulässige Authentifizierung) 8.8 Kritisch 17.02.2026 Microsoft (OOB-Patch vom Februar 2026)
CVE-2026-25177 Sicherheitslücke bei Active Directory Domain Services mit Privilegienerweiterung – Eine unzureichende Einschränkung der Namen für Dateien und andere Ressourcen in Active Directory Domain Services ermöglicht es einem autorisierten Angreifer, seine Berechtigungen über ein Netzwerk hinweg zu erweitern. Windows 10/11, Windows Server 2012–2025 Erweiterung von Berechtigungen CWE-641 (Unzulässige Einschränkung von Namen für Dateien und andere Ressourcen). 8.8 Wichtig 10.03.2026 Microsoft (Patch Tuesday im März 2026)
CVE-2026-23669 Sicherheitslücke bei der Windows-RPC-Laufzeitumgebung, die die Ausführung von Remote-Code ermöglicht – Eine „Use-after-free“-Schwachstelle in der RPC-Laufzeitumgebung ermöglicht es einem autorisierten Angreifer, beliebigen Code über ein Netzwerk auszuführen. Windows (verschiedene Versionen) Ausführung von Code aus der Ferne CWE-416 (Verwendung nach Freigabe). 8.8 Hoch 10.03.2026 Microsoft (Patch Tuesday im März 2026)
CVE-2026-27912 Sicherheitslücke bei Windows Kerberos: Ausnutzung von Berechtigungserweiterungen – Eine fehlerhafte Autorisierung in Windows Kerberos ermöglicht es einem autorisierten Angreifer, seine Berechtigungen in einem benachbarten Netzwerk zu erweitern. Windows Server 2012–2025 Erweiterung von Berechtigungen CWE-285 (Unzulässige Autorisierung) 8.0 Wichtig 13.04.2026 Microsoft (Patch Tuesday im April 2026)