Microsoft PowerToys Schwachstellen: BSI warnt vor hohem Risiko

Das BSI hat am 16. Oktober 2026 das Advisory WID-SEC-2026-3922 veröffentlicht, in dem mehrere Microsoft PowerToys Schwachstellen gemeinsam mit Lücken in Microsoft Power Apps und weiteren, nur als „Microsoft Apps" bezeichneten Produkten mit der Risikostufe „hoch" geführt werden. Als mögliche Auswirkungen nennt die Meldung die Erlangung erweiterter Berechtigungen einschließlich Administratorrechten, die Ausführung beliebigen Codes, die Manipulation von Daten sowie Denial-of-Service. Technische Details fehlen in der abrufbaren Fassung vollständig: WID-SEC-2026-3922 besteht im Abruf lediglich aus der Überschrift „Warn- und Informationsdienst" – ohne CVE-Nummern, ohne CVSS-Werte, ohne Versionsliste. Genau diese Lücke ist der eigentliche Nachrichtenwert.

Microsoft PowerToys Schwachstellen: Was das Advisory nennt

Die belegbaren Angaben sind knapp und lassen sich vollständig aufzählen. Betroffen sind drei Produktbezeichnungen: Microsoft PowerToys, Microsoft Power Apps und „Microsoft Apps". Die Einstufung lautet „[hoch]", die Meldung trägt zudem die Kennzeichnung „[UPDATE]". Diese Kennzeichnung deutet darauf hin, dass eine bereits bestehende Meldung überarbeitet wurde; welche Fassung ursprünglich veröffentlicht wurde und was das Update ergänzt hat, geht aus den vorliegenden Informationen nicht hervor.

Die Wirkungsbeschreibung ist breit und deckt praktisch das gesamte Spektrum ab, das ein Advisory abdecken kann – von der Rechteausweitung über Codeausführung und Datenmanipulation bis zum Denial-of-Service. Eine solche Aufzählung ist typisch für Sammelmeldungen, in denen mehrere Einzellücken unterschiedlicher Produkte zusammengefasst werden. Sie sagt aber nichts darüber, welche Lücke welche Wirkung entfaltet, ob eine Ausnutzung lokal oder aus der Ferne möglich ist und wie viele Systeme betroffen sind. Für eine Dringlichkeitsbewertung im eigenen Netz reicht die Risikostufe allein deshalb nicht aus.

Ohne CVE-Nummern, CVSS-Werte und Versionsangaben

Dass ein BSI-WID in einer frühen Phase ohne CVE-Details erscheint, ist kein Einzelfall. Ein Beispiel aus demselben Monat: Das Advisory WID-SEC-2026-3834 zu Microsoft Azure vom 10. Oktober 2026 trug die Risikostufe „mittel" und nannte nach damaligem Stand ebenfalls keine offiziellen CVE-Nummern. Das Muster wiederholt sich hier: eine klare Einstufung, aber keine Angaben, an denen Administratoren sonst festmachen, ob ein Patch-Test am Wochenende nötig ist oder nicht.

Damit fehlen für WID-SEC-2026-3922 gleich mehrere sonst übliche Bezugspunkte. Es gibt keinen CVSS-Score, keine betroffenen Versionsnummern, keine Information darüber, ob ein Fix bereits verfügbar, in Arbeit oder nicht geplant ist, und keine dokumentierten Workarounds. Auch eine Microsoft-Bestätigung zu genau diesem Sachverhalt liegt in den ausgewerteten Quellen nicht vor. Diese Offenheit ist kein Beweis für Harmlosigkeit – sie ist schlicht eine fehlende Grundlage und sollte auch so behandelt werden.

Warum PowerToys und Power Apps eine breite Angriffsfläche bieten

Die Produktauswahl ist trotz der dünnen Datenlage aufschlussreich. PowerToys ist eine Sammlung kostenloser Open-Source-Dienstprogramme für Windows-Power-User. Anders als ein zentral verwaltetes Serverprodukt landet solche Software typischerweise direkt auf Arbeitsplätzen von Entwicklern, Admins und technisch interessierten Anwendern – also bei genau den Konten, die häufig erweiterte Rechte besitzen. Eine lokale Rechteausweitung trifft dort auf deutlich mehr Angriffsfläche als auf einem Standard-Desktop. Zudem besteht die Sammlung aus vielen einzelnen EXE-Dateien; wer nur die Hauptanwendung blockiert, stoppt die Einzeltools nicht.

Power Apps wiederum ist eine Low-Code-Plattform für Geschäftsanwendungen und damit organisatorisch ein anderes Tier als ein Desktop-Tool. Dass beide Produktfamilien im selben Advisory auftauchen, spricht für eine Sammelmeldung und nicht für eine einzelne, zusammenhängende Schwachstelle. Ein Bezug zum Microsoft Security Advisory vom 14. Oktober 2026 ist naheliegend: In dessen Produktliste stehen unter anderem Power Apps und PowerToys – zwei Tage vor der BSI-Meldung. Ein Beleg für eine Identität der Sachverhalte ist das nicht.

CVE-2026-42902 als Kontext, nicht als Patch-Nachweis

Für PowerToys ist ein früherer Sicherheitsfund dokumentiert, der zeigt, wie unauffällig solche Korrekturen vorbeigehen können. Für CVE-2026-42902 ist eine lokale Rechteausweitung bis hin zum SYSTEM-Konto dokumentiert; der Fix war in PowerToys v0.99.1 vom 29. April 2026 enthalten – ohne erkennbaren Hinweis in den Release Notes. Wer damals nur auf Ankündigungen wartete, hat die Aktualisierung möglicherweise verpasst.

Dieser Fund ist jedoch ausschließlich Kontext. Er belegt weder, dass CVE-2026-42902 mit WID-SEC-2026-3922 zusammenhängt, noch taugt er als Patch-Nachweis für die Oktober-Meldung. Ebenfalls nur Hintergrund: Im April-2026-Patchzyklus von Microsoft waren kritische Updates für Power Apps enthalten, und die CISA nahm mit CVE-2026-32201 (14. April 2026), CVE-2026-33825 (22. April 2026) und CVE-2026-32202 (28. April 2026) drei Schwachstellen in ihre KEV-Datenbank auf. Eine dieser Nummern dem aktuellen Advisory zuzuordnen, wäre Spekulation.

Was Admins jetzt tun können

Die praktische Konsequenz ist unbequem, aber eindeutig: Solange das Advisory ohne CVE- und Versionsangaben bleibt, lässt sich die Betroffenheit nicht gezielt prüfen. Sinnvoll ist es, die Advisory-Seite im Blick zu behalten und auf eine konkretisierte Fassung zu warten, statt aus der Einstufung „hoch" einen Notfallplan abzuleiten.

Parallel lohnt ein Blick auf die tatsächlich installierten Stände: Welche PowerToys-Version läuft auf den Endgeräten, wird die Anwendung zentral verteilt oder von Anwendern selbst installiert, und gilt das auch für einzelne Utility-EXEs außerhalb der Hauptanwendung? Diese Bestandsaufnahme ist unabhängig vom Ausgang der Meldung nützlich. Für Power Apps führt der Weg über das Microsoft-Konto eines Mandanten und die dort dokumentierten Sicherheitsupdates, nicht über lokale Softwareinventarisierung.

Der Fall zeigt vor allem eines: Eine Risikostufe ohne technische Details erzeugt Aufmerksamkeit, aber keine Handlungsfähigkeit. Bis das BSI oder Microsoft nachliefert, bleibt die Meldung eine Beobachtungsaufgabe – nicht mehr und nicht weniger.

Quellen