CISA hat davor gewarnt, dass Ransomware-Gruppen eine schwerwiegende Schwachstelle im Windows Task Host ausnutzen, die es Angreifern ermöglicht, die vollständige Kontrolle über ungepatchte Windows-Geräte zu erlangen.
Die Schwachstelle betrifft Systeme mit Windows 11 und Windows Server 2025. Microsoft veröffentlichte im November 2025 ein Sicherheitsupdate, doch Unternehmen und Behörden, die es nicht installiert haben, bleiben gefährdet.
Windows-Task-Host-Schwachstelle ermöglicht SYSTEM-Zugriff
Die als CVE-2025-60710 registrierte Schwachstelle im Windows Task Host ermöglicht eine lokale Rechteausweitung.
Task Host ist eine zentrale Windows-Komponente, die auf DLL-Dateien basierende Hintergrundprozesse verwaltet. Sie hilft diesen Prozessen außerdem, beim Herunterfahren sicher beendet zu werden, wodurch das Risiko einer Datenbeschädigung reduziert wird.
Die Schwachstelle ermöglicht es jedoch einem lokalen Angreifer mit normalen Benutzerrechten, seine Berechtigungen auf die SYSTEM-Ebene auszuweiten. SYSTEM gehört zu den höchsten Berechtigungsstufen in Windows und gibt einem Angreifer weitreichende Kontrolle über den betroffenen Rechner.
Die Schwachstelle beruht auf einem Fehler bei der Verarbeitung von Links. Angreifer könnten diesen ausnutzen, um die Verarbeitung von Dateien oder Verzeichnissen durch Windows zu manipulieren und anschließend erhöhte Zugriffsrechte zu erhalten.
CISA bestätigt Ausnutzung durch Ransomware
CISA nahm CVE-2025-60710 am 13. April in seinen Known Exploited Vulnerabilities-Katalog auf, nachdem die Behörde eine aktive Ausnutzung bestätigt hatte.
Zu diesem Zeitpunkt gab die Behörde den Federal Civilian Executive Branch-Behörden zwei Wochen Zeit, um gefährdete Systeme abzusichern. CISA veröffentlichte keine Details zu den Angriffen und nannte auch keine beteiligten Bedrohungsakteure.
Am Freitag aktualisierte die Behörde den Eintrag erneut und bestätigte, dass Ransomware-Gruppen die Schwachstelle inzwischen missbrauchen.
Weder CISA noch Microsoft haben öffentlich bekannt gegeben, welche Ransomware-Gruppen die Schwachstelle nutzen, wie sie sich den ersten Zugang verschaffen oder welche Organisationen von Angriffen betroffen waren.
Behörden und Unternehmen sollten betroffene Systeme patchen
CISA forderte Organisationen dazu auf, die von Microsoft bereitgestellten Schutzmaßnahmen so schnell wie möglich umzusetzen. Die Behörde warnte, dass Schwachstellen dieser Art böswilligen Akteuren häufig einen effektiven Weg bieten, ihren Zugriff innerhalb eines Netzwerks auszuweiten.
Unternehmen sollten sicherstellen, dass auf Geräten mit Windows 11 und Windows Server 2025 die Sicherheitsupdates vom November 2025 installiert sind. Sicherheitsteams sollten Systeme außerdem auf ungewöhnliche Änderungen von Berechtigungen, verdächtige Dateiaktivitäten und unerwartete Prozesse überprüfen, die mit SYSTEM-Rechten ausgeführt werden.
Die Warnung folgt auf eine ähnliche CISA-Warnung aus der vergangenen Woche zu einer Schwachstelle für Remote-Codeausführung in Microsoft SharePoint, CVE-2026-45659. Die Behörde bestätigte auch bei dieser Schwachstelle eine Ausnutzung durch Ransomware-Gruppen.
Seit November 2021 hat CISA 383 aktiv ausgenutzte Schwachstellen in Microsoft-Produkten in seinen Katalog aufgenommen. Davon kamen 112 auch bei Ransomware-Angriffen zum Einsatz.
0 Kommentare zu „CISA warnt vor Ausnutzung einer Windows-Task-Host-Schwachstelle durch Ransomware-Gruppen“