Kritische Microsoft-Lücken und Mozilla-Updates: Kommunen sollten jetzt patchen

Dieser Artikel wurde bereits 3x gelesen...

Zwei aktuelle Warnmeldungen des Bundesamts für Sicherheit in der Informationstechnik (BSI) betreffen verbreitete Programme im kommunalen Arbeitsalltag: Mozilla Firefox und Thunderbird sowie Microsoft Office, SharePoint und Teams. Der CERT-Bund stuft die Microsoft-Schwachstellen als kritisch und die Mozilla-Schwachstellen als hoch ein. Für Kommunalverwaltungen ist das ein Anlass, die bereitgestellten Sicherheitsupdates zeitnah zu verteilen und auch zentral verwaltete Server und mobile Geräte in den Blick zu nehmen.

Kritische Schwachstellen in Microsoft Office und weiteren Produkten

Der Sicherheitshinweis WID-SEC-2026-4479 beschreibt mehrere Schwachstellen in Microsoft-Produkten. Betroffen sind laut CERT-Bund unter anderem Microsoft 365 Apps, Office LTSC 2021 und 2024, Office Online Server, SharePoint Server Subscription Edition sowie Teams für Android. Die möglichen Folgen reichen von der Ausführung beliebigen Codes und erweiterten Berechtigungen bis hin zum Umgehen von Schutzmaßnahmen, Spoofing und dem Offenlegen sensibler Informationen. Als Beispiel nennt das BSI den NTLMv2-Hash eines Benutzers, mit dem sich ein Angreifer unter Umständen als dieser Benutzer authentifizieren kann.

Die Einstufung „kritisch“ macht eine zeitnahe Prüfung besonders wichtig. IT-Verantwortliche sollten zunächst ermitteln, welche der genannten Produkte tatsächlich eingesetzt werden – einschließlich separat betriebener SharePoint- und Office-Online-Server sowie mobiler Teams-Installationen. Anschließend sind die für die jeweilige Produktversion vorgesehenen Microsoft-Sicherheitsupdates über die üblichen Verwaltungswege einzuspielen. Bei Servern gehören Wartungsfenster, Abhängigkeiten und ein anschließender Funktionstest dazu. Für konkrete Versionsstände und verfügbare Korrekturen verweist CERT-Bund auf den Microsoft Security Update Guide.

Firefox und Thunderbird ebenfalls aktualisieren

Der zweite Hinweis, WID-SEC-2026-4515, betrifft Mozilla Firefox, Firefox ESR und Thunderbird. Das BSI bewertet die Schwachstellen als hoch. Je nach Schwachstelle könnten Angreifer Sicherheitsmaßnahmen umgehen, höhere Berechtigungen erlangen, Dateien manipulieren oder Informationen auslesen. Betroffen sind mehrere Betriebssysteme, darunter Windows, Linux, macOS und UNIX.

Als korrigierte Versionen nennt der CERT-Bund Firefox 160, Firefox ESR 115.45 beziehungsweise 153.7 sowie Thunderbird 160 beziehungsweise 153.7. Welche ESR-Linie für eine konkrete Installation relevant ist, hängt vom eingesetzten Produktzweig ab. In Linux-Umgebungen können Distributionen Updates über ihre eigenen Paketquellen bereitstellen; das BSI verlinkt dazu unter anderem auf aktuelle Hinweise von SUSE und Red Hat. Deshalb sollten Administratorinnen und Administratoren die Hersteller- und Distributionshinweise für ihre Systeme abgleichen und nicht allein auf eine manuelle Versionsprüfung am Arbeitsplatz vertrauen.

Was kommunale IT-Teams jetzt tun sollten

Eine wirksame Reaktion beginnt mit einem belastbaren Überblick: Welche Office- und Mozilla-Versionen laufen auf Arbeitsplatzrechnern, Terminalservern, Verwaltungsservern und mobilen Geräten? Dazu gehören auch Geräte außerhalb des Verwaltungsnetzes, sofern sie dienstliche Konten oder Daten nutzen. Inventarisierung und Softwareverteilung sollten die betroffenen Produkte erkennen und den Update-Status nachvollziehbar dokumentieren.

Danach empfiehlt sich eine priorisierte Verteilung: Die als kritisch eingestufte Microsoft-Meldung sollte in der Patchplanung besonders hoch priorisiert werden. Die Mozilla-Updates sind ebenfalls zeitnah einzuspielen. Wo ein sofortiges Update aus betrieblichen Gründen nicht möglich ist, sollte die Abweichung dokumentiert, mit einer verantwortlichen Person und einem konkreten Nachholtermin versehen und bis dahin das Risiko geprüft werden. Die CERT-Bund-Hinweise nennen keine allgemeine Ersatzmaßnahme, die das Einspielen der Herstellerupdates ersetzt.

Nach der Installation sollten IT-Teams kontrollieren, ob die Updates auf allen vorgesehenen Geräten erfolgreich angekommen sind. Bei zentral betriebenen Servern sind zusätzlich Protokolle und Hinweise des Herstellers zu berücksichtigen. Ein dokumentierter Abschluss – betroffene Systeme, installierte Versionen, Ausnahmen und Prüfergebnis – erleichtert spätere Rückfragen und unterstützt die Nachvollziehbarkeit des Patchmanagements.

Fazit

Die beiden CERT-Bund-Warnungen betreffen sowohl die Office- und Kollaborationsumgebung als auch Browser und E-Mail-Clients. Kommunen sollten die Produktbestände kurzfristig abgleichen, die passenden Herstellerupdates priorisiert verteilen und den Erfolg systematisch überprüfen. Maßgeblich für die jeweils verfügbaren Korrekturen sind die offiziellen CERT-Bund-, Microsoft-, Mozilla- und Distributionshinweise.

Quellen

• CERT-Bund: WID-SEC-2026-4479 – Microsoft Office: Mehrere Schwachstellen
• CERT-Bund: WID-SEC-2026-4515 – Mozilla Firefox und Thunderbird: Mehrere Schwachstellen
• Microsoft Security Update Guide
• Mozilla Security Advisory MFSA 2026-125
• Mozilla Security Advisory MFSA 2026-126
• Mozilla Security Advisory MFSA 2026-127
• Mozilla Security Advisory MFSA 2026-128
• Mozilla Security Advisory MFSA 2026-129
• SUSE Security Update SUSE-SU-2026:5174-1
• Red Hat Security Advisory RHSA-2026:98124
• Red Hat Security Advisory RHSA-2026:98128