CVE-2025-50165: Kritische Windows-Grafiklücke — was zu tun ist

Im Juni 2025 hat Microsoft im Rahmen des Patch Tuesday eine kritische Schwachstelle im Windows Graphics Component gepatcht: CVE-2025-50165. Die Lücke erhielt einen CVSS-Score von 9.8 — das ist im höchsten Bereich kritischer Schwachstellen. Für Unternehmen ist schnelles Handeln gefragt.

Was ist CVE-2025-50165?

CVE-2025-50165 ist eine Remote Code Execution (RCE) Schwachstelle in der Windows-Grafikverarbeitungskomponente (GDI+). Ein Angreifer kann durch eine speziell präparierte Bilddatei oder ein manipuliertes Dokument beliebigen Code mit den Rechten des angemeldeten Benutzers ausführen — ohne dass der Nutzer etwas bemerkt.

Besonders gefährlich: Die Schwachstelle kann über E-Mail-Anhänge, Webseiten, Office-Dokumente und auch über Vorschaufunktionen im Windows-Explorer ausgelöst werden. Ein Klick reicht.

Welche Systeme sind betroffen?

Die Schwachstelle betrifft alle unterstützten Windows-Versionen:

Windows 10 (alle aktuellen Versionen)
Windows 11 (alle aktuellen Versionen)
Windows Server 2019, 2022, 2025

Systeme mit Windows 10, die das Ende des Support-Lebenszyklus erreicht haben (Oktober 2025), erhalten den Patch nur über das kostenpflichtige ESU-Programm — ein weiterer guter Grund, Upgrades zu priorisieren.

Wie funktioniert der Angriff?

Der Angriff folgt einem klassischen Muster:

Phishing-E-Mail mit einem manipulierten JPEG-, PNG- oder EMF-Bild als Anhang oder eingebettet in ein Office-Dokument
Beim Öffnen oder sogar bei der Vorschau in Outlook analysiert die Grafikkomponente die Datei
Ein Heap-Buffer-Overflow in der Bildverarbeitungsroutine wird ausgelöst
Angreifer erhält Shell-Zugriff auf dem betroffenen System

Besonders heimtückisch: In einigen Konfigurationen genügt es, eine E-Mail im Vorschaufenster von Outlook zu öffnen — ohne den Anhang anzuklicken.

Was sollten Sie sofort tun?

1. Patch sofort einspielen

Wichtig zu wissen: Es gibt nicht die eine KB-Nummer für alle. Jede Windows-Version bekommt ihr eigenes kumulatives Update — Windows 11 23H2, Windows 11 24H2, Windows 10 22H2 und die Server-Versionen tragen jeweils unterschiedliche Nummern. Wer nach einer einzelnen Nummer sucht und sie nicht findet, hält sein System fälschlich für nicht betroffen.

Der verlässliche Weg: Im Microsoft Security Response Center die CVE-Nummer nachschlagen. Dort steht je Windows-Version das zugehörige Update.

So finden Sie heraus, welche Version Sie haben:

Get-ComputerInfo | Select-Object OsName, OsVersion, OsBuildNumber, WindowsVersion

So prüfen Sie, ob das für Sie zuständige Update installiert ist — die Nummer aus dem Advisory einsetzen:

Get-HotFix -Id KB0000000 -ErrorAction SilentlyContinue

Kommt keine Ausgabe, fehlt das Update. Für einen schnellen Überblick über die zuletzt installierten Updates:

Get-HotFix | Sort-Object InstalledOn -Descending | Select-Object -First 5

1a. Ungepatchte Geräte im Bestand finden

Bei mehr als einer Handvoll Rechner wird das Einzelprüfen unpraktisch. Zwei Wege:

Microsoft Intune: Geräte → Überwachen → Windows-Updateberichte. Zeigt je Gerät den Update-Stand und welche Installationen fehlgeschlagen sind.

Defender Vulnerability Management (in Defender für Endpunkt enthalten): Unter Schwachstellen die CVE-Nummer suchen. Sie bekommen die exakte Liste der betroffenen Geräte in Ihrem Bestand — das ist der schnellste Weg, wenn Sie die Lizenz haben.

Ohne beides bleibt WSUS oder eine Abfrage per PowerShell-Fernzugriff über die Gerätliste.

2. Outlook-Vorschaufenster deaktivieren (temporär)

Als sofortige Maßnahme, bis der Patch ausgerollt ist:

Outlook → Ansicht → Lesebereich → Deaktiviert

Alternativ per Gruppenrichtlinie für alle Nutzer:

HKCU\Software\Microsoft\Office\16.0\Outlook\Options\Mail
DisableReadingPane = 1

3. E-Mail-Anhänge filtern

Konfigurieren Sie Exchange Online oder Ihren Mail-Gateway, um EMF-, WMF- und unkomprimierte BMP-Dateien in E-Mail-Anhängen zu blockieren. Microsoft Defender für Office 365 (Plan 2) bietet hier zusätzlichen Schutz.

4. Angriffsfläche reduzieren

Aktivieren Sie die Attack Surface Reduction (ASR) Rules in Microsoft Defender:

Block Office applications from creating executable content
Block all Office applications from creating child processes

Setzen Sie die Regeln zuerst in den Überwachungsmodus, bevor Sie sie scharf schalten. Sonst blockieren Sie unter Umständen eine Fachanwendung, die legitim Unterprozesse startet — und suchen den Fehler an der falschen Stelle.

Prüfen, ob es Sie schon erwischt hat

Wenn zwischen Veröffentlichung und Ihrem Patch mehrere Tage lagen, gab es ein Zeitfenster. Diese Spuren sind es wert, nachgesehen zu werden:

Ungewöhnliche untergeordnete Prozesse von Outlook, Word, Excel oder dem Explorer — insbesondere powershell.exe, cmd.exe oder rundll32.exe
Neue geplante Aufgaben oder Autostart-Einträge, die niemand angelegt hat
Ausgehende Verbindungen zu unbekannten Zielen, vor allem von Arbeitsplatzrechnern, die sonst nur mit internen Systemen sprechen
Neue lokale Konten oder Konten, die plötzlich in der Administratorengruppe stehen

Mit Defender für Endpunkt lässt sich das gezielt abfragen:

DeviceProcessEvents
| where InitiatingProcessFileName in~ ("outlook.exe","winword.exe","excel.exe","explorer.exe")
| where FileName in~ ("powershell.exe","cmd.exe","rundll32.exe","mshta.exe")
| project Timestamp, DeviceName, InitiatingProcessFileName, FileName, ProcessCommandLine

Findet sich etwas, reicht das Update nicht mehr — dann geht es um Beweissicherung, Passwortwechsel und im Zweifel um eine Neuinstallation des betroffenen Rechners.

Wie Küstenwiese helfen kann

Die Lücke zeigt exemplarisch, warum ein strukturiertes Patch Management entscheidend ist. Viele Unternehmen kämpfen mit:

Endgeräten, die nicht zentral verwaltet werden
Fehlenden Monitoring-Mechanismen für ausstehende Updates
Keine automatisierten Rollout-Prozesse

Mit einer gut konfigurierten Microsoft Intune + Defender-Umgebung erhalten Sie:

Automatisches Patch-Rollout mit Testablauf
Echtzeit-Reporting über den Patch-Status aller Geräte
Sofortige Benachrichtigung bei kritischen CVEs

Haben Sie Fragen zur Absicherung Ihrer IT? Sprechen Sie uns an — wir analysieren Ihre Umgebung und schließen Lücken, bevor sie zum Problem werden.

Quellen: Microsoft Security Response Center, NIST NVD, CISA Known Exploited Vulnerabilities Catalog