Neun Updates sollen Microsofts Edge, Office, Silverlight und Windows sicherer machen. Da der Support für ältere Internet-Explorer-Versionen ausläuft, werden diese an diesem Patchday das letzte Mal gefixt.

In diesem Monat stopft Microsoft insgesamt 22 Sicherheitslücken in Edge, Exchange Server, Internet Explorer, Office, Silverlight, VBScripting Engine und Windows (Client und Server). Darum kümmern sich neun Sicherheitsupdates, von denen der Konzern sechs als kritisch und drei als wichtig einstuft. Einen Großteil der Schwachstellen können Angreifer über das Provozieren von Speicherfehlern ausnutzen.

Die erste kritische Lücke klafft im Internet Explorer 7 bis 11 in verschiedenen Windows-Versionen. Lässt sich ein Nutzer auf eine präparierte Webseite locken, können Angreifer die gleichen Nutzerrechte wie das Opfer erlangen und eigenen Code aus der Ferne ausführen, warnt Microsoft. Über eine weitere als kritisch eingestufte Lücke in Edge können Angreifer ebenfalls Code aus der Ferne ausführen. Das Angriffsszenario ist identisch.
Kein Support mehr für ältere Internet-Explorer-Versionen

An diesem Patchday erhalten Nutzer von älteren Internet-Explorer-Versionen das letzte Mal Sicherheitsupdates, denn Microsoft hat den Support für diese eingestellt. Nutzer sollten jeweils auf die noch unterstützte Version umsteigen.

Als kritisch bezeichnet Microsoft auch eine Sicherheitsanfälligkeit im VBScript-Skriptmodul in Windows Server 2008 und Windows Vista. Auch hier dient eine bösartige Webseite als Einfallstor, um Remotecode auszuführen. Das soll auch über eine weitere kritische Schwachstelle in Windows 7, Windows 8 und 8.1, Windows 10, Windows RT und RT 8,1, Windows Server 2008 und 2008 R2, Windows Server 2012 und 2012 R2 und Windows Vista möglich sein.

In Silverlight klaffen zwei als kritisch eingestufte Lücken, über die Angreifer ebenfalls über manipulierte Webseiten auf Computer gelangen und eigenen Code ausführen können. In einem Fall soll das über eine speziell gestaltete Silverlight-Anwendung gelingen. In beiden Fällen können Angreifer die Kontrolle über Computer erlangen.

Die kritische Schwachstelle in Office soll über ein manipuliertes Office-Dokument angreifbar sein. Anschließend können Angreifer Microsoft zufolge Code mit den gleichen Nutzerrechten ausführen wie der zu diesem Zeitpunkt angemeldete Nutzer.
Lücken mit der Bewertung hoch

Um eine mit der Bewertung hoch eingestufte Schwachstelle in Windows 7, Windows 8 und 8.1, Windows 10, Windows RT und RT 8,1, Windows Server 2008 und 2008 R2, Windows Server 2012 und 2012 R2 und Windows Vista ausnutzen zu können, muss sich ein Angreifer bei einem Zielsystem anmelden und eine spezielle Anwendung ausführen. Anschließend soll er Code aus der Ferne ausführen können. Über eine weitere Lücke in diesen Windows-Versionen kann sich ein Angreifer im gleichen Angriffsszenario mehr Berechtigungen verschaffen.

Die letzte mit der Bewertung hoch eingestufte Lücke klafft im Exchange Server. Dabei soll Outlook Web Access (OWA) Webanforderungen nicht ordnungsgemäß verarbeiten. Angreifer können so Spoofing betreiben.

Das Sicherheitsupdate mit der Kennung MS16-009 fehlt in der Auflistung; in der Liste folgt auf MS16-008 gleich MS16-010. Eventuell hat Microsoft dieses aufgrund von Kompatibilitätsproblemen kurzfristig zurückgezogen.
Sicherheitsempfehlungen

Microsoft hat zudem verschiedenen Sicherheitsempfehlungen veröffentlicht. Eine beschreibt die Abwertung von SHA-1 im Microsoft Root Certificate Program. Die nächste Empfehlung beschreibt die Verbesserung bei der Aufnahme von TLS-Sessions. Darüber hinaus gibt es noch eine Empfehlung für ActiveX-Killbits für IBM Endpoint Manager for Remote Control und IBM Assist On-site. Abschließend verweist Microsoft nochmals auf die Sicherheitsempfehlung in Bezug auf das Flash-Update für den Internet Explorer.