Windows-Lücke CVE-2026-23670: Einfaches Skript deaktiviert Antivirus
Veröffentlicht am: 15.08.2026 um 19:41 Uhr | Redaktion boerse-global.de
Sicherheitsforscher haben eine neue Angriffsmethode identifiziert, die grundlegende Sicherheitsfunktionen des Windows-Betriebssystems aushebelt. Die unter dem Namen „Download More RAM“ bekannt gewordene Technik ermöglicht es, Antiviren-Software und komplexe Sicherheitslösungen mittels eines einfachen Skripts vollständig zu deaktivieren. Die Schwachstelle wird unter der Kennung CVE-2026-23670 geführt und zielt auf die Architektur moderner Arbeitsspeichermodule ab.
Technischer Hintergrund und Memory-Aliasing
Die Ergebnisse der Untersuchung wurden im Rahmen der Fachkonferenz USENIX Security 2026 der Öffentlichkeit präsentiert. Der Angriff nutzt spezifische Eigenschaften von DDR4- und DDR5-Speichermodulen aus, um die Integrität des Systems zu untergraben. Konkret missbraucht die Methode die Serial Presence Detect (SPD)-Daten der Hardware, um ein sogenanntes Memory-Aliasing zu erzeugen.
Durch diese Manipulation gelingt es den Angreifern, zentrale Schutzmechanismen von Microsoft zu umgehen. Davon betroffen sind insbesondere die Virtualization-based Security (VBS) sowie die Hypervisor-Protected Code Integrity (HVCI).
Angesichts solch komplexer Hardware-Schwachstellen wird ein proaktiver Schutz der IT-Infrastruktur für Betriebe immer wichtiger. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt kennen müssen. Neue KI-Gesetze und Cyberrisiken: Was auf Ihr Unternehmen zukommt
Diese Funktionen dienen unter Windows dazu, den Kernel vor unbefugten Zugriffen und der Ausführung von nicht verifiziertem Code zu schützen. Durch das Memory-Aliasing werden diese Barrieren für das Angriffsskript durchlässig.
Betroffene Hardware und Voraussetzungen
Nach Erkenntnissen der Forscher beschränkt sich die Anfälligkeit auf Hardware bestimmter Hersteller. In den Tests wurden Module der Unternehmen Corsair, G.Skill und ADATA als anfällig für die beschriebene Manipulation eingestuft. Die Schwachstelle liegt somit in der physischen Beschaffenheit beziehungsweise der Firmware-Konfiguration dieser Speichermodule begründet.
Hinsichtlich der Durchführung des Angriffs betonten die Experten, dass für die Ausführung des Skripts lokale Administratorrechte auf dem Zielrechner erforderlich sind. Ein physischer Zugriff auf das Gerät ist hingegen nicht notwendig, was die Gefahr einer Eskalation nach einer initialen Kompromittierung des Systems erhöht.
Sobald ein Angreifer über ausreichende Berechtigungen verfügt, kann er den Microsoft Defender sowie Endpoint-Detection-and-Response-Lösungen (EDR) von Drittanbietern ohne weitere Interaktion abschalten.
Wer sich mit der Absicherung von IT-Systemen befasst, sollte auch die Risiken durch gezielte Manipulation der Mitarbeiter nicht unterschätzen. Erfahren Sie in diesem Gratis-Report, wie Sie Sicherheitslücken schließen und gleichzeitig neue gesetzliche Anforderungen erfüllen. IT-Sicherheit stärken ohne teure Investitionen: Gratis-E-Book sichern
Bewertung der Schwere der Schwachstelle
Trotz der drastischen Auswirkung – der vollständigen Deaktivierung der Sicherheitssoftware – wurde CVE-2026-23670 mit einem CVSS-Score von 5.7 bewertet. Diese Einstufung im mittleren Bereich des Schweregrads ergibt sich vor allem aus der Voraussetzung, dass bereits administrative Privilegien auf dem System vorhanden sein müssen.
Dennoch stellt die Methode ein erhebliches Risiko für Unternehmen dar, da sie es Angreifern erlaubt, nach einem erfolgreichen Eindringen ihre Spuren zu verwischen und installierte Schutzsysteme blind zu machen.
Die Forscher wiesen darauf hin, dass die Kombination aus Hardware-Manipulation und Software-Umgehung eine neue Qualität bei der Bekämpfung von Sicherheitsarchitekturen darstellt, die eigentlich auf Hardware-Virtualisierung basieren. Eine Reaktion der betroffenen Hardware-Hersteller oder ein Software-Patch seitens Microsoft zur Milderung des Memory-Aliasing-Effekts steht derzeit noch aus.
