Microsoft hat am 10. November 2026 Sicherheitsupdates für zwei Schwachstellen in seiner BitLocker-Laufwerksverschlüsselung bereitgestellt. Über die Sicherheitslücken können Angreifer unter bestimmten Voraussetzungen den Schutzmechanismus umgehen, sofern sie physischen Zugriff auf das betroffene Endgerät erlangen.
Beide Schwachstellen wurden vom Softwarekonzern als wichtig eingestuft. Zum Zeitpunkt der Veröffentlichung lagen Microsoft zufolge keine Hinweise auf eine aktive Ausnutzung oder ein vorzeitiges öffentliches Bekanntwerden vor; das Risiko einer Ausnutzung schätzte das Unternehmen als gering ein.
Details zu den Schwachstellen CVE-2026-97015 und CVE-2026-119832
Die schwerwiegendere der beiden Lücken, geführt unter der Kennung CVE-2026-97015, beruht auf einem Heap-Pufferüberlauf (CWE-122) und ist mit einem CVSS-Wert von 6.8 bewertet.
Für diesen Angriff sind weder erhöhte Privilegien noch Nutzerinteraktionen erforderlich, zudem gilt die Angriffskomplexität als gering. Sie betrifft eine breite Palette an Betriebssystemen: Neben Windows 11 reicht das Spektrum über die Windows-10-Versionen 1607, 1809, 21H2 und 22H2 bis hin zu Windows-Server-Zweigen ab der Ausgabe 2012.
Ein Klick auf den falschen Link oder eine unentdeckte Sicherheitslücke reicht oft schon aus, um die Kontrolle über das eigene System zu verlieren. Dieser kostenlose Report zeigt Ihnen, wie Sie den bereits in Windows integrierten Schutz optimal konfigurieren, um sich effektiv vor Angriffen zu schützen. Windows Defender richtig einstellen und PC absichern
Die zweite Schwachstelle mit der Bezeichnung CVE-2026-119832 weist einen CVSS-Wert von 5.9 auf und betrifft eine fehlerhafte Zugriffskontrolle. Ein potenzieller Angreifer benötigt hierfür neben dem physischen Gerätezugang grundlegende Benutzerrechte, während eine Interaktion regulärer Anwender nicht notwendig ist. Betroffen sind Windows 10 in den Versionen 1809, 21H2 und 22H2, mehrere Releases von Windows 11 sowie Windows Server 2019, 2022 und 2025.
Zur Behebung stellt Microsoft entsprechende Updates bereit, darunter KB5131096 für Windows 10 (21H2/22H2), KB5131087 für Windows 11 (23H2) und KB5132059 für Windows 11 (26H1). Für Serversysteme stehen unter anderem die Pakete KB5131085 (Server 2019) und KB5131090 (Server 2022) zur Verfügung.
Zusätzlicher Schutz über Mehr-Faktor-Authentifizierung ratsam
Angesichts der Einstufungen wird Administratoren das zeitnahe Einspielen der bereitgestellten Patches sowie eine strikte physische Sicherung der Endgeräte empfohlen. Um TPM-basierte Vollverschlüsselungen gegen physische Übergriffe abzusichern, raten Sicherheitshinweise zudem zum Einsatz einer PIN-Eingabe zusätzlich zum TPM-Chip anstelle eines reinen TPM-Betriebs.
Viele Nutzer verlassen sich auf die Standardeinstellungen ihres Betriebssystems, ohne die versteckten Sicherheitsrisiken zu kennen. Erfahren Sie in dieser Experten-Anleitung, wie Sie Ihren Computer ohne zusätzliche Software und Kosten auf ein professionelles Sicherheitsniveau heben. Kostenlosen Sicherheits-Ratgeber jetzt herunterladen
Diesen Aspekt unterstreicht auch eine vom Bundesamt für Sicherheit in der Informationstechnik (BSI) veröffentlichte Untersuchung unter dem Titel „Active and Passive Attacks against TPM2-based Full Disk Encryption“.
In praktischen Tests wies das BSI nach, dass Angreifer durch passive Angriffe, wie das Abhören des Datenverkehrs zwischen CPU und einem gesockelten dedizierten TPM, sowie durch aktive Firmware-Manipulationen am UEFI eine TPM2-basierte Festplattenverschlüsselung aushebeln können. Diese Szenarien wurden auf Systemen mit Windows 11 und Linux demonstriert und funktionierten in Teilen trotz Parameter-Verschlüsselung.
Das BSI empfiehlt in seiner Studie den Einsatz Common-Criteria-zertifizierter Sicherheitschips sowie verpflichtend eine zusätzliche PIN-Eingabe beim Systemstart, da dieser Schritt die analysierten Angriffe in den Tests verhinderte. Überdies regte die Behörde ein Update der Spezifikationen an, um stärkere standardmäßige Schutzmaßnahmen gegen passive Angriffsformen zu etablieren.