Microsoft hat zum turnusmäßigen Patch Tuesday im September 2026 eine Rekordmenge an Sicherheitskorrekturen bereitgestellt. Insgesamt schließt der Konzern 974 Schwachstellen quer durch Windows-Betriebssysteme, Azure-Komponenten und Office-Dienste, darunter 13 als kritisch eingestufte Sicherheitslücken.
Besondere Dringlichkeit geht von zwei Schwachstellen aus, die Angreifer bereits vor der Bereitstellung der Patches aktiv für zielgerichtete Angriffe ausnutzten. Die unter CVE-2026-85880 geführte Lücke betrifft einen Heap-basierten Pufferüberlauf im Windows Advanced Local Procedure Call (ALPC). Sie ermöglicht es lokalen Angreifern oder Schadprogrammen mit eingeschränkten Rechten, ihre Privilegien vollständig auf SYSTEM-Rechte zu eskalieren. Nahezu zeitgleich wurde eine Schwachstelle im Windows Update Stack (CVE-2026-81963) bekannt, bei der eine fehlerhafte Link-Auflösung („Link Following“) ebenfalls zur unberechtigten Rechteausweitung führt.
Die US-Cybersicherheitsbehörde CISA reagierte unmittelbar und nahm beide Zero-Day-Lücken in ihren Katalog bekannter ausgenutzter Schwachstellen (KEV) auf. Für US-Bundesbehörden gilt eine verbindliche Frist zur Umsetzung bis zum 22. September 2026. Aufgrund der aktiven Exploit-Wellen empfehlen Sicherheitsexperten auch europäischen Unternehmen und Betreibern kritischer Infrastrukturen, die entsprechenden Windows-Updates ohne Verzögerung einzuspielen.
Neben den beiden Zero-Days adressiert das Update-Paket 58 Schwachstellen, für die Microsoft eine Ausnutzung in naher Zukunft als wahrscheinlich einstuft. Detaillierte Angaben zu betroffenen Plattformen und Build-Nummern führt der offizielle Microsoft-Sicherheitsleitfaden auf.
Quellen
- Microsoft Security Response Center, „September 2026 Security Updates“, 8. September 2026
- CISA, „CISA Adds Two Known Exploited Vulnerabilities to Catalog“, 8. September 2026
