Die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) bestätigte, dass Ransomware-Banden die Sicherheitslücke CVE-2025-60710 in der Windows-Task-Host-Komponente ausnutzen. Die Behörde hatte die Schwachstelle am 13. April in ihre Liste der bekannten, tatsächlich ausgenutzten Schwachstellen aufgenommen und ihre Liste am Freitag erneut aktualisiert, um ausdrücklich auf ihren Zusammenhang mit Angriffen durch Ransomware-Banden hinzuweisen.
Die Schwachstelle betrifft Geräte mit Windows 11 und Windows Server 2025 und entsteht durch eine Schwäche in der Verfolgungsmechanik für Verknüpfungen. Microsoft behob den Fehler mit den im November 2025 veröffentlichten Sicherheitsupdates. Laut der Beschreibung der Schwachstelle kann ein lokaler Angreifer mit grundlegenden Benutzerrechten sie ausnutzen, um seine Berechtigungen auf die Ebene SYSTEM zu erhöhen, wodurch er vollständige Kontrolle über das nicht aktualisierte Gerät erhält.
Welche Funktion hat der Windows Task Host?
Der Task Host ist eine zentrale Komponente von Windows. Er ermöglicht die Ausführung von auf DLL-Dateien basierenden Prozessen im Hintergrund und unterstützt das System dabei, diese beim Herunterfahren ordnungsgemäß zu schließen, um das Risiko einer Datenbeschädigung zu verringern. Da die Ausnutzung der Schwachstelle voraussetzt, dass der Angreifer lokal mit einem Konto mit eingeschränkten Rechten anwesend ist, stellt sie nicht unbedingt den ersten Zugangspunkt zum Netzwerk dar. Sie kann jedoch nach dem Zugriff des Angreifers auf ein Gerät eine entscheidende Phase der Rechteausweitung ermöglichen.
Was ändert sich in der Praxis?
Die CISA veröffentlichte keine Einzelheiten zu den laufenden Angriffen oder zu den Akteuren, die CVE-2025-60710 ausgenutzt haben. Auch Microsoft hatte bis zum Zeitpunkt der Veröffentlichung des Beitrags seinen Sicherheitshinweis nicht aktualisiert, um die Ausnutzung bei realen Angriffen zu bestätigen. Dennoch erhöht die Aufnahme der Schwachstelle in die Liste der Known Exploited Vulnerabilities und die anschließende Feststellung ihrer Nutzung durch Ransomware-Banden die Priorität der Update-Installation für Organisationen, die weiterhin ungepatchte Versionen einsetzen.
Microsoft erklärte, dass die Schwachstelle mit dem Update vom November 2025 behoben wurde und Kunden, die das Update installiert haben, geschützt sind und keine weiteren Maßnahmen ergreifen müssen. Die CISA forderte die betroffenen Stellen dagegen auf, die Abhilfemaßnahmen gemäß den Anweisungen des Unternehmens umzusetzen und die Vorgaben der verbindlichen Operational Directive BOD 22-01 für Cloud-Dienste einzuhalten oder die Nutzung des Produkts einzustellen, falls keine geeigneten Schutzmaßnahmen bereitgestellt werden können.
Ein breiterer Kontext der Ausnutzung von Microsoft-Produkten
Die Warnung folgt eine Woche auf die Mitteilung der CISA, dass Ransomware-Banden begonnen haben, eine Schwachstelle zur Remotecodeausführung in Microsoft SharePoint mit der Kennung CVE-2026-45659 auszunutzen, nachdem die tatsächliche Ausnutzung Anfang Juli bestätigt worden war. Seit November 2021 hat die Behörde 383 tatsächlich ausgenutzte Schwachstellen in Microsoft-Produkten in ihre Liste aufgenommen, darunter 112 Schwachstellen, die auch bei Ransomware-Angriffen eingesetzt wurden.
Das bedeutet, dass die Behebung von CVE-2025-60710 nicht als von einem Schwachstellenmanagementprogramm getrennte Maßnahme verstanden werden sollte. Die praktische Priorität besteht darin, die Installation des Updates vom November 2025 auf Geräten mit Windows 11 und Windows Server 2025 zu überprüfen und anschließend zu kontrollieren, ob es auf den Systemen, die nicht aktualisiert worden waren, Hinweise auf eine Kompromittierung oder unerwartete lokale Konten gibt. Der Beitrag enthielt keine weiteren Einzelheiten zu Kompromittierungsindikatoren oder den eingesetzten Angriffsmethoden.