Windows-Sicherheitslücke CVE-2026-96951: Microsoft schließt MOTW-Umgehung

Die Risiken durch manipulierte Dokumentformate beschäftigen IT-Sicherheitsverantwortliche und Endanwender gleichermaßen. Wie ein Bericht von makeuseof.com darlegt, reichte bei einem konkreten Vorfall bereits eine gezielte Windows-Einstellung aus, um eine gefälschte PDF-Datei schon vor dem Öffnen als potenziell schädliche Täuschung zu identifizieren. Das Erkennen verdächtiger Merkmale auf Dateisystemebene bildet eine erste Hürde, bevor automatisierte Parser oder Viewer die Inhalte verarbeiten.

Schutzmechanismen des Betriebssystems und Warnsysteme

Dokumentenbasierte Angriffe zielen häufig darauf ab, Sicherheitswarnungen des Betriebssystems zu umgehen. Am 13.10.2026 schloss Microsoft die Schwachstelle CVE-2026-96951, die mit einem CVSS-Wert von 8,8 von 10 Punkten und dem Schweregrad „Important“ eingestuft ist.

Die Sicherheitslücke hebelt die Schutzfunktion „Mark of the Web“ (MOTW) aus, welche im NTFS-Alternate-Data-Stream „Zone.Identifier“ abgelegt wird und Anwender vor Dateien aus dem Internet warnt. Ein Angriff setzt voraus, dass eine speziell präparierte Datei per E-Mail oder Instant Messaging geöffnet wird.

Von der Schwachstelle betroffen sind Windows 10 (Versionen 22H2, 21H2, 1809, 1607) sowie Windows 11 (23H2, 24H2, 25H2, 26H1, 26H2). Die US-Cybersicherheitsbehörde CISA nahm CVE-2026-96951 am 13.10.2026 in ihren Katalog bekannter ausgenutzter Schwachstellen auf und setzte für US-Bundesbehörden eine Frist zur Behebung bis zum 16.10.2026 fest.

Wer sich mit der Absicherung von Betriebssystemen befasst, findet in diesem kostenlosen Report wertvolle Unterstützung für den Alltag am PC. Erfahren Sie, wie Sie typische Fehler und Sicherheitslücken bei Windows 11 ganz einfach selbst beheben können. Erste Hilfe für Windows 11 kostenlos herunterladen

Getarnte Schadsoftware im Ökosystem von PDF-Betrachtern

Gefahren gehen nicht nur von manipulierten Dokumenten selbst aus, sondern auch von vermeintlichen Hilfsprogrammen. Das Analyseteam Zscaler ThreatLabz identifizierte einen neuartigen Installer für den Banking-Trojaner Anatsa.

Die Schadsoftware war als PDF-Reader des Entwicklers Duka Zuri im Google Play Store gelistet und verzeichnete über 10.000 Installationen. Die App lud die Schadkomponente als scheinbares Update nach, forderte Berechtigungen für Bedienungshilfen an und blendete manipulierte Anmeldeseiten über legitimen Banking-Anwendungen ein.

Auch Rendering-Engines geraten ins Visier: Am 23.08.2026 meldete Wordfence die Heap-Buffer-Overflow-Schwachstelle CVE-2026-39919 im PostScript- und PDF-Interpreter Ghostscript. Ein präpariertes PDF-Dokument mit JPEG-2000-Bildern ermöglichte dabei das Ausführen von Schadcode aus der Ferne. Der Entwickler stellte die Fehlerbehebung am 08.09.2026 mit Version 10.08.0 bereit.

Mobile Phishing-Kampagnen und hybride Betrugsmuster

Analysen von Zimperium zLabs verdeutlichen zudem die Ausbreitung von Phishing-Kampagnen, bei denen PDF-Dateien über mobile Kanäle wie SMS und MMS übermittelt werden.

Die Sicherheitsforscher dokumentierten unter anderem eine Kampagne rund um das Mautsystem EZDriveMA mit über 2.100 automatisch erzeugten Phishing-Domains sowie gefälschte PayPal-Krypto-Rechnungen. Pablo Morales von Zimperium wies darauf hin, dass über SMS empfangene PDFs ein gefährlicher blinder Fleck im mobilen Sicherheitsumfeld seien.

Angesichts immer raffinierterer Betrugsmuster über Messenger und E-Mails ist ein proaktiver Schutz für mobile Endgeräte unerlässlich. Dieser Gratis-Ratgeber zeigt Ihnen fünf einfache Maßnahmen, mit denen Sie Ihr Android-Smartphone wirksam gegen Hacker und Datenmissbrauch absichern. 5 Schutzmaßnahmen jetzt gratis entdecken

Praktische Maßnahmen für den sicheren Umgang mit Dokumenten

Die Kombination aus organisatorischen und technischen Schritten minimiert das Risiko vor solchen Angriffsvektoren:

• Dateiendungen und Formate kontrollieren: Das Einblenden vollständiger Dateierweiterungen im Betriebssystem verhindert das unbedachte Ausführen von als Dokumente getarnten Programmen.
• Aktualisierungen zeitnah einspielen: Sicherheitsupdates für Betriebssysteme und Dokumentenbetrachter sollten umgehend installiert werden, um Schwachstellen beim Parsing zu schließen.
• Misstrauen bei unerwarteten Anhängen: Über Kurznachrichtendienste oder E-Mails empfangene PDF-Dateien erfordern stets eine vorherige Verifizierung von Absender und Kontext.