Microsoft hat am 9. Juni 2026 rund 200 Sicherheitslücken geschlossen, 33 davon kritisch. BleepingComputer zählt nach einer Aktualisierung am 10. Juni sechs Zero-Days. Eine davon, CVE-2026-42897 in Exchange Server, wird bereits angegriffen. Zwei Lücken umgehen BitLocker bei physischem Zugriff, eine löst Überlast bei HTTP/2 aus. Der Artikel nennt die Prioritäten für Administratoren.
Der Juni-Patchday liefert etwa 200 Korrekturen, darunter sechs Zero-Days. Für Exchange-Server gilt die höchste Dringlichkeit, weil Angreifer die Lücke bereits nutzen.
Das Wichtigste in Kürze
- Etwa 200 Lücken sind geschlossen, 33 davon kritisch. Von den kritischen sind 28 Fehler mit Codeausführung aus der Ferne.
- Sechs Zero-Days sind dabei. Fünf waren vor dem Patch öffentlich bekannt, eine wird aktiv ausgenutzt.
- Exchange hat Vorrang. CVE-2026-42897 erlaubt JavaScript-Ausführung beim Öffnen einer Mail in Outlook Web Access.
- BitLocker braucht zusätzliche Aufmerksamkeit. Zwei Lücken umgehen die Verschlüsselung bei physischem Zugriff.
Was Microsoft gepatcht hat
Dabei hat BleepingComputer den Bericht am 9. Juni 2026 um 13:57 Uhr veröffentlicht und am 10. Juni ergänzt: Die Zahl der Zero-Days stieg dort auf sechs. Frühere Berichte nannten drei Zero-Days. Secpod zählt 206 Lücken. Die Angaben unterscheiden sich also je nach Auswertung.
| Lücke | Betroffen | Was das bedeutet |
|---|---|---|
| CVE-2026-42897 | Exchange Server | Aktiv ausgenutzt, Spoofing mit JavaScript in OWA |
| CVE-2026-45585 | BitLocker (YellowKey) | Umgehung bei physischem Zugriff über die Wiederherstellungsumgebung |
| CVE-2026-50507 | BitLocker (bitskrieg) | Zweite Umgehung, kann WinRE-Anpassung erfordern |
| CVE-2026-49160 | HTTP.sys (HTTP/2 Bomb) | Überlast durch komprimierte Kopfzeilen |
| CVE-2026-45586 | Collaborative Translation Framework | Rechteausweitung lokal |
Quelle: BleepingComputer. Ein sechster Fehler betrifft den Cloud Files Mini Filter Driver (Rechteausweitung).
Exchange Server zuerst
So läuft der Angriff: Ein Angreifer schickt eine präparierte Mail. Öffnet der Empfänger sie in Outlook Web Access und treffen bestimmte Bedingungen zu, läuft fremder JavaScript-Code im Browser. Laut Messageware hat Microsoft die Lücke im Mai über den Emergency Mitigation Service entschärft, im Juni folgte der dauerhafte Fix.
Zudem gilt für Exchange Server SE das Update KB5094139. Die Versionen 2016 (CU23) und 2019 (CU14, CU15) erhalten Updates nur über das ESU-Programm. Dabei warnt Messageware, dass Konfigurationsdateien ab Juli zu ungepatchten Servern nicht passen. Mehr zum Auslaufen der alten Versionen steht im Artikel zu Exchange 2016 und 2019.
Weitere Prioritäten
Deshalb braucht der Rest der Liste eine klare Reihenfolge:
- Patche Exchange-Server sofort und prüfe, ob der Mitigationsdienst aktiv ist.
- Aktualisiere Geräte mit BitLocker, besonders solche mit TPM-only-Konfiguration.
- Installiere die Updates auf Webservern mit HTTP/2. Microsoft führt laut IT-Connect die Einstellung MaxHeadersCount ein, die Kopfzeilen begrenzt.
- Beachte die Remote-Desktop-Clients: Sieben kritische Fehler stecken dort, mehrere erlauben Codeausführung, wenn sich Nutzer mit einem Server des Angreifers verbinden.
Fazit
Der Juni-Patchday ist gross, doch die Prioritäten sind klar: erst Exchange, dann BitLocker-Geräte und Webserver. Wer Exchange 2016 oder 2019 betreibt, braucht den ESU-Vertrag oder eine Migration. Plane die Updates diese Woche.
Quellen: BleepingComputer, IT-Connect, Secpod, Messageware. Foto: geralt / Pixabay. Stand: 10. Juni 2026.
Recherche und Entwurf KI-gestützt, geprüft und freigegeben von Andreas Brauckmann · So arbeitet die Redaktion
Änderungshistorie
- — Artikel veröffentlicht.