CISA bestätigt: Windows Task Host Lücke jetzt von Ransomware ausgenutzt

Was ist passiert?

Die US-Cybersicherheitsbehörde CISA hat ihren Katalog bekannt ausgenutzter Schwachstellen (Known Exploited Vulnerabilities, KEV) erneut aktualisiert. Wie BleepingComputer berichtet, bestätigte CISA am 14. August 2026, dass die Windows-Task-Host-Schwachstelle CVE-2025-60710 mittlerweile auch von Ransomware-Banden aktiv ausgenutzt wird. Die Lücke war bereits im April 2026 in den KEV-Katalog aufgenommen worden, damals allerdings ohne den Hinweis auf Ransomware-Nutzung.

Task Host ist eine zentrale Windows-Systemkomponente, die dafür sorgt, dass DLL-basierte Hintergrundprozesse sauber gestartet und beim Herunterfahren korrekt beendet werden, um Datenkorruption zu vermeiden. Die Schwachstelle beruht auf einer sogenannten Link-Following-Schwäche und betrifft Windows 11 sowie Windows Server 2025.

Wie der Angriff abläuft

Nach erfolgreicher Ausnutzung können lokale Angreifer mit einfachen Benutzerrechten ihre Rechte auf SYSTEM-Ebene ausweiten und so die volle Kontrolle über ein ungepatchtes Gerät übernehmen. Für Ransomware-Gruppen ist das ein klassischer Zwischenschritt: Nach dem initialen Zugriff über Phishing, gestohlene Zugangsdaten oder eine andere Schwachstelle nutzen Angreifer Rechteausweitungs-Lücken wie diese, um Sicherheitssoftware zu deaktivieren, Schattenkopien zu löschen und die Verschlüsselung im gesamten Netzwerk auszurollen.

CISA machte bislang keine Angaben zu konkreten Details der beobachteten Angriffe, auch Microsoft hat sein Advisory zu CVE-2025-60710 nach Angaben von BleepingComputer bislang nicht aktualisiert, um eine aktive Ausnutzung offiziell zu bestätigen. Für Bundesbehörden in den USA gilt dennoch eine Frist von zwei Wochen zur Absicherung ihrer Systeme, seit die Lücke erstmals im April in den KEV-Katalog aufgenommen wurde.

Warum das für KMU relevant ist

Auch wenn die CISA-Fristen offiziell nur für US-Bundesbehörden gelten, ist der KEV-Katalog für IT-Verantwortliche weltweit eine verlässliche Frühwarnliste: Was dort als aktiv ausgenutzt gelistet ist, sollte in jedem Unternehmensnetzwerk priorisiert gepatcht werden – unabhängig von Branche oder Land. Rechteausweitungs-Lücken wie CVE-2025-60710 sind für Angreifer besonders wertvoll, weil sie oft der entscheidende Schritt zwischen einem einzelnen kompromittierten Client und einer vollständigen Netzwerkübernahme sind.

Für kleine und mittlere Unternehmen mit begrenzten IT-Ressourcen kommt erschwerend hinzu, dass Rechteausweitungs-Schwachstellen selten Priorität bei der Patch-Planung genießen, weil sie im Gegensatz zu Remote-Code-Execution-Lücken keinen direkten externen Angriffsweg bieten. Genau diese Unterschätzung machen sich Ransomware-Gruppen zunutze, sobald sie erst einmal einen Fuß in der Tür haben.

Was Admins jetzt tun sollten

1. Patch-Status prüfen: Windows 11 und Windows Server 2025 Systeme auf den November-2025-Sicherheitspatch kontrollieren
2. Windows Update-Historie über Get-HotFix in PowerShell oder das Update-Center prüfen
3. Systeme priorisieren, die noch nicht auf dem aktuellen Patchstand sind, insbesondere Server mit direktem Nutzerzugriff
4. Endpoint-Detection-Lösungen auf verdächtige Rechteausweitungs-Versuche und ungewöhnliche SYSTEM-Prozesse prüfen
5. Backup-Strategie gegenprüfen: Offline- oder unveränderliche Backups sind die letzte Verteidigungslinie gegen Ransomware
6. CISA KEV-Katalog regelmäßig in die eigene Patch-Priorisierung einbeziehen, nicht nur bei kritischen RCE-Lücken
7. Betroffen: Windows 11 (alle unterstützten Versionen) und Windows Server 2025
8. Patch bereits seit November 2025 verfügbar, Nachholbedarf besteht vor allem bei verzögerten Rollouts
9. CISA hat seit November 2021 insgesamt 383 aktiv ausgenutzte Schwachstellen im KEV-Katalog erfasst
10. Parallel warnte CISA eine Woche zuvor bereits vor aktiver Ausnutzung einer SharePoint-RCE-Lücke (CVE-2026-45659)
11. Kombination mehrerer aktiv ausgenutzter Lücken erhöht das Gesamtrisiko für ungepatchte Umgebungen deutlich

Einordnung im größeren Kontext

Der Fall zeigt ein wiederkehrendes Muster: Schwachstellen, die zunächst nur als "aktiv ausgenutzt" ohne weitere Details gemeldet werden, tauchen Monate später mit konkretem Ransomware-Bezug wieder auf. Für die Patch-Priorisierung bedeutet das, dass ein KEV-Eintrag nicht als einmalige Momentaufnahme behandelt werden sollte, sondern eine kontinuierliche Beobachtung verdient – gerade bei Rechteausweitungs-Lücken, die sich gut mit anderen Angriffstechniken kombinieren lassen.

Passende Anleitungen auf S-EDV

1. Ransomware-Report Q2 2026: Aktive Gruppen auf Rekordhoch, Lösegeldzahlungen fallen auf 23 Prozent
2. Windows August-Patchday: Update-Plan gegen aktiv ausgenutzten AFD-Fehler

Quellen

1. BleepingComputer: CISA: Windows Task Host flaw now exploited by ransomware gangs
2. SC World: CISA confirms 2025 Windows Task Host flaw exploited by ransomware groups
3. CISA: Known Exploited Vulnerabilities Catalog