Am 8. September 2026 veröffentlichte Microsoft das bislang größte Patch-Tuesday-Sicherheitsupdate in seiner Geschichte und behob rund 970 Schwachstellen in seinen Produkten. Die genaue Zahl variiert je nach Quelle – genannt werden 974 bzw. 964 CVE –, der Umfang ist jedoch in jedem Fall beispiellos. Zwei Schwachstellen werden bereits aktiv von Angreifern ausgenutzt: Beide ermöglichen eine Privilege Escalation bis auf SYSTEM-Ebene auf dem lokalen System. Unter den übrigen Fixes befinden sich fünf kritische remote code execution‑Schwachstellen mit einem CVSS-Score von 9,8, die zentrale Windows-Serverkomponenten betreffen. Organisationen müssen die Aktualisierung ihrer Systeme unverzüglich priorisieren, beginnend mit den aktiv ausgenutzten und kritischen Schwachstellen.
Zwei aktiv ausgenutzte Schwachstellen
Die Hauptbedrohung stellen zwei zero-day-Schwachstellen dar, deren Ausnutzung in realen Angriffen von Microsoft bestätigt wurde:
CVE-2026-85880 (CVSS 7,8) – heap buffer overflow in der Komponente Windows Advanced Local Procedure Call (ALPC). Die Schwachstelle ermöglicht es einem Angreifer, der Code in einem niedrig privilegierten AppContainer ausführt, aus der Sandbox auszubrechen und SYSTEM-Rechte zu erlangen, ohne dass weiteres Benutzerinteraktion erforderlich wäre. Dies ist die zweite ALPC-Schwachstelle, die als zero-day ausgenutzt wird – die erste war CVE-2023-21674, die im Januar 2023 behoben wurde. Über die Entdeckung von CVE-2026-85880 berichteten die Unternehmen Volexity und Proofpoint, was auf einen wahrscheinlichen Einsatz der Schwachstelle in zielgerichteten Angriffen hindeutet, auch wenn Microsoft keine Details zu den Angreifern, zum Umfang der Kampagne oder zu bestätigten Opfern offengelegt hat.
CVE-2026-81963 (CVSS 7,8) – Schwachstelle in der fehlerhaften Auflösung von Links im Windows Update Stack. Die Ausnutzung ermöglicht einem authentifizierten Angreifer eine Privilege Escalation bis auf SYSTEM-Ebene. Der Patch wurde für alle unterstützten Windows-Versionen veröffentlicht. Nach Angaben von Forschern ist dies die erste Schwachstelle im Windows Update Stack, die als zero-day ausgenutzt wird – obwohl seit 2022 sieben Privilege-Escalation-Schwachstellen in dieser Komponente entdeckt wurden. Über die Schwachstelle berichteten Romain Depurn aus Airbus Helicopters und das Microsoft Threat Intelligence Center (MSTIC).
Die Beteiligung von MSTIC an der Entdeckung von CVE-2026-81963 verdient besondere Beachtung: Diese Microsoft-Einheit ist auf die Beobachtung staatlicher und hochentwickelter Bedrohungen spezialisiert. In Verbindung mit der Tatsache, dass CVE-2026-85880 von Volexity entdeckt wurde – einem Unternehmen, das für die Untersuchung von APT-Kampagnen bekannt ist –, lässt sich vermuten, dass beide Schwachstellen in zielgerichteten Angriffen eingesetzt wurden. Microsoft hat jedoch weder eine Attribution noch das Ausmaß der Ausnutzung oder den erfolgreichen Kompromittierungsgrad von Opfern bestätigt.
Kritische Schwachstellen mit CVSS 9,6–9,8
Neben den beiden zero-days wurden im September-Update mehrere Schwachstellen mit kritischer Bewertung behoben, die remote code execution ohne Authentifizierung ermöglichen:
- CVE-2026-69525 (CVSS 9,8) – use-after-free in Windows Remote Desktop Services, remote code execution ohne Authentifizierung
- CVE-2026-69595 (CVSS 9,8) – use-after-free im Windows Services for NFS ONCRPC XDR Driver, remote code execution ohne Authentifizierung
- CVE-2026-69730 (CVSS 9,8) – use-after-free im Windows DNS Server, remote code execution ohne Authentifizierung
- CVE-2026-69829 (CVSS 9,8) – heap buffer overflow in der Windows Shell, remote code execution ohne Authentifizierung
- CVE-2026-72979 (CVSS 9,8) – use-after-free im Windows DHCP Server, remote code execution ohne Authentifizierung
- CVE-2026-65669 (CVSS 9,6) – injection in SQL Server, Privilege Escalation über das Netzwerk ohne Authentifizierung
Besondere Beachtung verdient die Häufung von use-after-free-Schwachstellen in Netzwerk-Serverkomponenten: RDP, DNS, DHCP, NFS. Jede von ihnen erlaubt es einem nicht authentifizierten Angreifer, beliebigen Code über das Netzwerk auszuführen, was sie zu potenziellen Kandidaten für die Entwicklung von Netzwerk-Würmern macht. Zwar ist zum Zeitpunkt der Veröffentlichung noch keine Ausnutzung dieser Schwachstellen in realen Angriffen dokumentiert, doch ihre Kritikalität und der Netzwerk-Angriffsvektor erfordern ein priorisiertes Patchen.
Weitere bedeutende Schwachstellen
Unter den Fixes mit hoher CVSS-Bewertung stechen zudem hervor:
- CVE-2026-55007 (CVSS 8,1) – double-free in Microsoft Exchange Server, remote code execution ohne Authentifizierung. Das Update für Exchange Server ist bereits verfügbar.
- CVE-2026-80097 (CVSS 8,6) – Fehler in der Authentifizierung in Microsoft Authenticator, der eine lokale Privilege Escalation ermöglicht
- CVE-2026-69465 (CVSS 8,8) – fehlende Autorisierung in Microsoft Office SharePoint, remote code execution
Der Umfang des Updates im Kontext des Jahres 2026
Der September-Release markierte den Höhepunkt eines Trends, der sich über das gesamte Jahr 2026 abzeichnete. Nach Angaben von Microsoft brachten die vorangegangenen Monate: 457 CVE im August, 663 im Juli, 220 im Juni und 161 im Mai. Laut Forschern hat die Gesamtzahl der von Microsoft im Jahr 2026 behobenen Schwachstellen bereits 2600 überschritten, was mehr als das Doppelte des bisherigen Rekords aus dem Jahr 2020 (1245 CVE) ist – und bis zum Jahresende bleiben noch drei Monate.
Dieser Anstieg wird nach Ansicht einer Reihe von Analysten durch den Einsatz von KI-Werkzeugen zur Schwachstellenerkennung verursacht und ist ein positives Signal: Die Angriffsfläche wird verringert, bevor Angreifer diese Schwachstellen entdecken und ausnutzen können. Für IT-Security-Teams bedeutet dies jedoch eine beispiellose Belastung für die Prozesse des Patch- und Vulnerability-Managements.
Praktische Empfehlungen
Bei einem solchen Umfang an Updates ist eine konsequente Priorisierung geschäftskritisch. Empfohlene Vorgehensweise:
- Sofort die Patches für CVE-2026-85880 und CVE-2026-81963 installieren – beide Schwachstellen werden bereits ausgenutzt. Alle unterstützten Windows-Versionen sind betroffen.
- Innerhalb von 48 Stunden die Serverkomponenten mit CVSS-9,8-Schwachstellen aktualisieren: DNS Server, DHCP Server, Remote Desktop Services, NFS, Windows Shell. Diese Schwachstellen erfordern keine Authentifizierung und werden über das Netzwerk ausgenutzt.
- Innerhalb einer Woche Exchange Server (CVE-2026-55007), SharePoint (CVE-2026-69465) und SQL Server (CVE-2026-65669) aktualisieren.
- Prüfen, ob die Dienste RDP, DNS, DHCP und NFS ohne Notwendigkeit ins Internet exponiert sind. Den Netzwerkzugriff auf diese Services bis zum Abschluss des Patchens einschränken.
- Für CVE-2026-85880 besonders auf Systeme achten, auf denen Anwendungen in einem AppContainer laufen: Die Schwachstelle ermöglicht einen Sandbox-Escape. Achten Sie auf anomale Privilege Escalations von Prozessen, die in Containern mit eingeschränkten Rechten ausgeführt werden.
Der Patch Tuesday im September ist nicht nur ein quantitativer Rekord, sondern auch eine qualitative Herausforderung für die Prozesse des Vulnerability-Managements. Zwei aktiv ausgenutzte Privilege-Escalation-Schwachstellen und fünf kritische Netzwerk-RCEs mit einem Score von 9,8 bilden eine reale Angriffsfläche, die vorrangig geschlossen werden muss. Organisationen, die nicht in der Lage sind, alle Systeme gleichzeitig zu aktualisieren, sollten sich auf diese sieben CVE konzentrieren und den Netzwerkzugriff auf verwundbare Serverdienste bis zum Abschluss des vollständigen Patch-Zyklus einschränken.
