Nur 0,5 Prozent der veröffentlichten Schwachstellen werden laut Microsoft ausgenutzt. 78 Prozent davon ermöglichen Systemübernahme oder höhere Rechte.
Betriebssysteme überproportional betroffen
Bisher nur 0,5 Prozent der Schwachstellen ausgenutzt
Angreifer nutzen nur einen sehr kleinen Teil der veröffentlichten Sicherheitslücken tatsächlich aus, wählen diese aber gezielt aus. Das zeigt eine Auswertung von Microsoft. Von allen veröffentlichten CVEs ließen sich nur rund 2.000, etwa 0,5 Prozent, Angriffen in freier Wildbahn zuordnen. 78 Prozent dieser ausgenutzten Lücken ermöglichen es Angreifern, die Kontrolle über ein System zu übernehmen oder ihre Rechte auszuweiten.
Codeausführung und Rechteausweitung bevorzugt
Besonders deutlich zeigt sich das bei Lücken, die das Ausführen von Code aus der Ferne auf Servern erlauben (Remote Code Execution, RCE). Sie machen 20 Prozent aller veröffentlichten CVEs aus, aber 37 Prozent der ausgenutzten. Lücken zur lokalen Rechteausweitung kommen auf 11 Prozent aller CVEs und 18 Prozent der ausgenutzten. Umgekehrt verhält es sich bei Cross-Site-Scripting (XSS): Solche Lücken stellen 15 Prozent aller veröffentlichten Schwachstellen, aber nur 4 Prozent der ausgenutzten.
Laut Microsoft bietet ein Absturz oder die Ausführung eines kleinen Skripts Angreifern wenig, worauf sie aufbauen können. Codeausführung und höhere Rechte verschaffen ihnen dagegen einen Ausgangspunkt für weitere Schritte. Als Beispiele nennt Microsoft eine Lücke im Treiber des Common Log File System (CLFS) von Windows, über die lokale Nutzer Systemrechte erlangen konnten, sowie eine Zero-Day-Lücke im Cloud-Files-Treiber.
Betriebssysteme überproportional betroffen
Auch bei der Art der betroffenen Software unterscheiden sich die Zahlen. Von allen veröffentlichten CVEs betreffen rund 77 Prozent Anwendungscode und 23 Prozent Betriebssystemcode. Bei den ausgenutzten Lücken steigt der Anteil der Betriebssysteme auf 41 Prozent.
Für Sicherheitsteams bedeutet das, dass Lücken mit Codeausführung, Rechteausweitung und Bezug zum Betriebssystem bei der Priorisierung von Updates besonderes Gewicht verdienen. Wie schnell gehandelt werden muss, zeigt der Bericht „State of Exploitation” von VulnCheck für das erste Halbjahr 2026. Demnach wurden 23,4 Prozent der ausgenutzten Lücken innerhalb eines Tages nach Veröffentlichung der CVE angegriffen. Die mittlere Zeit bis zur Ausnutzung sank von 120 auf 80 Tage. Zuletzt hatten Angreifer etwa die PHP-Lücken unter dem Namen PHP2Shell wenige Tage nach der Veröffentlichung der Patches ausgenutzt.
(red)
