Microsoft Early Security Update August 2026: Drei CVEs mit CVSS 10,0, darunter Teams Privilege Escalation

Wenige Tage vor dem regulären Patchday hat Microsoft am 06. August 2026 ein außerplanmäßiges Sicherheitsupdate veröffentlicht. Das Early Security Update enthält 20 CVEs, davon 10 als kritisch eingestuft. Besonders alarmierend: Drei Schwachstellen erreichen die maximale CVSS-Bewertung von 10,0.

Der prominenteste Fehler ist CVE-2026-65667: Eine Privilege-Escalation in Microsoft Teams, die einem nicht authorisierten Angreifer ermöglicht, über das Netzwerk Berechtigungen zu erhöhen. Keine Benutzerinteraktion erforderlich. Das macht diesen Fehler zu einem der gefährlichsten Teams-Schwachstellen seit langem.

Was ist passiert?

Das Early Security Update vom 06. August 2026 ist kein regulärer Patchday, sondern eine außerplanmäßige Veröffentlichung für Sicherheitslücken, die eine sofortige Behebung erfordern. Die drei kritischsten Fehler:

1. CVE-2026-65667 (CVSS 10,0): Missing Authorization in Microsoft Teams. Ein nicht autorisierter Angreifer kann über das Netzwerk Privilegien erhöhen. Betroffen sind Teams Desktop, Mobile und möglicherweise Teams-Server-Komponenten. Laut Rapid7 ist die Schwachstelle unter CWE-862 (Missing Authorization) kategorisiert.
2. CVE-2026-63508 (CVSS 10,0): Schwachstelle in Azure/Entra-Diensten. Details sind noch knapp, die Klassifizierung als CVSS 10,0 unterstreicht die Kritikalität.
3. CVE-2026-56162 (CVSS 10,0): Weitere Schwachstelle mit Höchstbewertung. Betroffene Komponente wird in den nächsten Stunden und Tagen genauer eingegrenzt.

Zusätzlich sind Schwachstellen in Active Directory, Azure, SharePoint und anderen Microsoft-Produkten betroffen. Die genaue Aufstellung wird in den nächsten Tagen von Microsoft vollständig veröffentlicht.

Wer ist betroffen?

Alle Organisationen, die Microsoft Teams, Active Directory, Azure oder Entra-ID (ehemals Azure AD) einsetzen. Für KMU mit Microsoft 365-Umgebungen ist die Teams-Schwachstelle besonders relevant, da Teams in vielen Betrieben als zentrale Kommunikationsplattform dient.

Microsoft gibt an, dass die Cloud-Dienste bereits vollständig mitigiert sind. Das heißt: Kunden, die ausschließlich Microsoft 365 Cloud nutzen, sind durch die serverseitige Remediation geschützt. Lokale oder hybride Installationen müssen manuell gepatcht werden.

Wie kritisch ist das?

CVSS 10,0 ist die höchstmögliche Bewertung. Die Kombination aus Network-Vektor, fehlender Authentifizierung und fehlender Benutzerinteraktion bei CVE-2026-65667 macht die Teams-Schwachstelle zu einer akuten Bedrohung. Ein Angreifer kann sich unbemerkt in Teams-Umgebungen einschleusen und Berechtigungen erhöhen, ohne dass ein Benutzer etwas bemerkt.

Für die Gesamtbewertung ist auch die zeitliche Einordnung wichtig: Das Early Security Update signalisiert, dass Microsoft die Schwachstellen als zu dringend für den nächsten regulären Patchday einschätzt.

Was sollten Admins jetzt tun?

1. Teams-Status prüfen: Prüfen Sie, ob Ihre Microsoft 365-Umgebung bereits durch die serverseitige Mitigation geschützt ist. Bei Cloud-only-Umgebungen ist das in der Regel der Fall.
2. Lokale Komponenten patchen: Bei hybriden Umgebungen mit lokalen AD- oder Teams-Server-Komponenten die verfügbaren Updates installieren.
3. Azure/Entra-Umgebung prüfen: Die Azure- und Entra-ID-Konfiguration auf verdächtige Aktivitäten prüfen, insbesondere ungewöhnliche Berechtigungserhöhungen.
4. Regulären Patchday vorbereiten: Der reguläre August-Patchday steht am 12. August 2026 an. Erwartet werden 200 bis 300 weitere CVEs. Testfenster jetzt einplanen.
5. Teams-Audit-Logs prüfen: Prüfen Sie die Teams-Audit-Logs auf ungewöhnliche Anmelde- oder Berechtigungsaktivitäten der letzten Tage.

Einordnung für Unternehmen

Für KMU mit Microsoft 365 ist die Botschaft klar: Cloud-only-Umgebungen sind durch die serverseitige Mitigation geschützt. Hybride Umgebungen mit lokalen Servern sollten schnellstmöglichst gepatcht werden. Das Early Security Update unterstreicht einen Trend: Microsoft veröffentlicht immer häufiger außerplanmäßige Sicherheitsupdates, was auf eine zunehmende Komplexität der Bedrohungslage hindeutet.

Passende Anleitungen auf S-EDV

1. Microsoft Patchday August 2026: Preview und Forecast - Was vor dem regulären Patchday am 12. August bereits bekannt ist.
2. Microsoft Patch Tuesday Juli 2026: ADFS und SharePoint Zero-Days - ZuRückblick auf den July-Patchday mit 621 CVEs.

Quellen

1. Rapid7: CVE-2026-65667 - Microsoft Teams Missing Authorization
2. Feedly: August 2026 Early Security Update - 10 Critical Vulnerabilities
3. Tenable: CVE-2026-65667