Microsoft Patchday September 2025

Microsoft Patchday September 2025 HPC Pack mit CVSS 9.8 und NTLM mit 8.8 als Hauptangriffsvektoren

10.09.2025 Von Thomas Joos 4 min Lesedauer

Anbieter zum Thema

Microsoft veröffentlicht im September 2025 Updates für 86 Schwachstellen in Windows, Office, Azure, Hyper-V, SQL Server, Defender Firewall Service und Xbox. Acht Sicherheitslücken gelten als kritisch, eine ist öffentlich bekannt. Auffällig ist die große Zahl an RCEs und EoPs.

Beim Patchday im September sind Cyberangriffe mit Remote Code Execution und Elevation of Privilege die größten Risiken für Microsoft-Kunden.(Bild: Dall-E / Vogel IT-Medien / KI-generiert) — Beim Patchday im September sind Cyberangriffe mit Remote Code Execution und Elevation of Privilege die größten Risiken für Microsoft-Kunden.
(Bild: Dall-E / Vogel IT-Medien / KI-generiert)

Im Microsoft Patchday im September erreicht die Schwachstelle CVE-2025-55232 mit einem CVSS-Score von 9.8 den Höchstwert. Die Sicherheitslücke in Microsoft HPC Pack erlaubt anonyme Remote Code Execution (RCE) ohne Benutzerinteraktion. Ein Cyberangreifer kann über TCP-Port 5999 Code in Clusterumgebungen einschleusen. In HPC-Clustern mit offenen Netzwerkgrenzen ist eine schnelle Verbreitung zwischen Knoten denkbar, was HPC-Umgebungen mit sensiblen Daten direkt gefährdet. Diese wie auch 85 weitere Schwachstellen hat Microsoft bei seinem Patch Tuesday geschlossen.

Der Microsoft Patchday ist immer am zweiten Dienstag des Monats. (Bild: Sahir_Stock - stock.adobe.com)

Office und Excel mit anhaltenden Dateiangriffen

CVE-2025-54910 (CVSS-Score 8.4) betrifft erneut das Vorschaufenster in Office. Bereits die Anzeige einer manipulierten Datei oder E-Mail reicht aus, um Code auszuführen. Ergänzend existieren folgende sieben Excel RCEs

CVE-2025-54896 (CVSS-Score 7.8)

CVE-2025-54897 (CVSS-Score 7.8)

CVE-2025-54898 (CVSS-Score 7.8)

CVE-2025-54899 (CVSS-Score 7.8)

CVE-2025-54900 (CVSS-Score 7.8)

CVE-2025-54901 (CVSS-Score 7.8)

CVE-2025-54902 (CVSS-Score 7.8)

CVE-2025-54903 (CVSS-Score 7.8)

CVE-2025-54904 (CVSS-Score 7.8)

sowie ein PowerPoint-RCE (CVE-2025-54908, CVSS-Score 7.8), ein Visio-RCE (CVE-2025-54907, CVSS-Score 7.8) und eine weitere Office-Schwachstelle (CVE-2025-54906, CVSS-Score 7.8). Angriffe über gängige Dateiformate bleiben damit ein praktisches Szenario, etwa in Phishing-Kampagnen.

Mit Einführung des Hotpatching für Windows 11 muss man einen PC nicht mehr (mindestens) 12x im Jahr neu starten, sondern nur noch 4x, im Rahmen der Installation der Baseline-Updates. (Bild: © Miha Creative - stock.adobe.com)

NTLM und SMB mit öffentlich bekannten Schwachstellen

CVE-2025-54918 in NTLM erhält den CVSS-Score 8.8 und erlaubt es authentifizierten Nutzern, ihre Rechte über das Netzwerk auf SYSTEM zu erhöhen. Microsoft bewertet die Ausnutzbarkeit als niedrig in der Komplexität, was gezielte Angriffe in Domänennetzen erleichtert. Besonders kritisch ist die Schwachstelle CVE-2025-55234 (SMB EoP, CVSS-Score 8.8), da sie öffentlich bekannt ist. Exploits sind dokumentiert, auch wenn Microsoft derzeit keine aktiven Angriffe bestätigt hat. In Unternehmensnetzen steigt dadurch das Risiko, dass Proof-of-Concept-Code schnell in Angriffswerkzeuge integriert wird.

Für eine Sicherheitslücke, die alle Windows-Versionen ab Windows 7 und Server 2008 R2 betrifft, gibt es noch keinen Patch von Microsoft. (Bild: Dall-E / KI-generiert)

SharePoint und RRAS als Angriffspunkte im Netzwerk

CVE-2025-54897 (CVSS-Score 8.8) erlaubt in SharePoint die Ausführung von Code mit Site-Owner-Rechten. In Umgebungen, in denen Anwender diese Rechte standardmäßig besitzen, kann ein Angreifer bösartigen Code über eine manipulierte Site einschleusen. In Routing and Remote Access Services liegen zwei RCEs mit CVE-2025-54106 (CVSS-Score 8.8) und CVE-2025-54113 (CVSS-Score 7.5). Da RRAS oft für VPN-Zugänge eingesetzt wird, besteht hier eine direkte Angriffsfläche aus dem Internet.

Die Schwachstelle CVE-2025-53770 gilt als hochgefährlich, da sie bereits weltweit von Angreifern ausgenutzt wird und SharePoint-Server in Behörden, Unternehmen und kritischen Infrastrukturen kompromittierbar macht. (Bild: Dall-E / KI-generiert)

Hyper-V und Kernel mit Escalation-Szenarien

Hyper-V weist mehrere EoPs (Elevation of Privilege) Schwachstellen auf, die es Cyberangreifern erlauben, ihre Rechte vom Standardbenutzer bis hin zu SYSTEM oder Administrator auszuweiten. Diese sind

CVE-2025-54091, CVSS-Score 7.8

CVE-2025-54092, CVSS-Score 7.8

CVE-2025-54098, CVSS-Score 7.8

CVE-2025-54115, CVSS-Score 7.0

Angriffe aus der VM können auf Hostebene eskalieren. CVE-2025-55224 (CVSS-Score 7.8) erlaubt zusätzlich RCE im Hyper-V-Kontext. Der Windows-Kernel selbst ist mit CVE-2025-54110 (CVSS-Score 8.8) verwundbar, ein Exploit ermöglicht SYSTEM-Rechte. In Kombination mit Hyper-V-Fehlern sind Ausbrüche aus isolierten VMs realistisch.

Mit kostenlosen Tools wie Windows Update Mini Tool und Co bekommen Admins mehr Kontrolle über Updates in Windows. (Bild: Miha Creative - stock.adobe.com)

SQL Server und Virtual Hard Disks als Infrastrukturziele

SQL Server ist mit CVE-2025-55227 (CVSS-Score 8.8) betroffen, die sysadmin-Rechte erlaubt. Microsoft weist darauf hin, dass administrative Zusatzmaßnahmen erforderlich sind, um den Schutz vollständig umzusetzen. Angriffe könnten Datenbanken manipulieren oder Daten abziehen. CVE-2025-47997 (CVSS-Score 6.5) ergänzt dies durch ein Informationsleck. Virtuelle Festplatten sind mit CVE-2025-54112 (CVSS-Score 7.0) anfällig, was zum Ausfall von Systemen genutzt werden kann.

Mit Windows Server 2025 hat Microsoft die Technik des „Hotpatching“ verbessert und in allen Editionen von Windows Server 2025 integriert. Zusammen mit Azure Arc bringt Microsoft Hotpatching ins lokale Rechenzentrum. (Bild: Pakin - stock.adobe.com)

Grafik- und Imaging-Pipeline als breiter Angriffsvektor

CVE-2025-55228 (CVSS-Score 7.8) in der Windows Graphics Component und die Graphics-Kernel-Schwachstellen CVE-2025-55226 (CVSS-Score 6.7) und CVE-2025-55236 (CVSS-Score 7.3) erlauben Codeausführung über manipulierte Bilddateien. CVE-2025-53799 (CVSS-Score 5.5) in der Imaging Component leakt Speicherinformationen und kann als Hilfskomponente in Exploit-Ketten dienen.

Die gefährlichste Schwachstelle des Microsoft Patchdays im Juli 2025 ist CVE-2025-47981 in der SPNEGO-Erweiterung NEGOEX. Microsoft erwartet erste Attacken innerhalb von 30 Tagen. (Bild: Dall-E / Vogel IT-Medien / KI-generiert)

Defender Firewall Service und LSASS mit Eskalationspotenzial

Sechs EoPs im Defender Firewall Service (je CVSS-Score 6.7) heben Prozesse von Medium Integrity auf Local Service. Damit lassen sich Sandbox-Grenzen durchbrechen. LSASS weist mit CVE-2025-54894 (CVSS-Score 7.8) eine EoP und mit CVE-2025-53809 (CVSS-Score 6.5) eine DoS-Schwachstelle auf. Ein erfolgreicher Angriff auf LSASS eröffnet den Zugriff auf Anmeldedaten und kann Kerberos- oder NTLM-Hashes kompromittieren.

Kostenpflichtiger Support für Windows 10 oder doch Windows 11? Aber welche Hardware wird dafür benötigt? Oder doch lieber ein ganz neues Betriebssystem? Diese und weitere Fragen sollten sich Nutzer möglichst bald stellen – wir liefern alle wichtigen Infos zum Support-Ende von Windows 10. (Bild: Dall-E / Vogel IT-Medien / KI-generiert)

Azure, PowerShell Direct und Xbox Live als Randziele

CVE-2025-55316 (CVSS-Score 7.8) in Azure Arc erlaubt das Einschleusen von VM-Erweiterungen. CVE-2025-49692 (CVSS-Score 7.8) im Azure Connected Machine Agent erfordert manuelles Nachziehen des Agenten und führt zu SYSTEM-Rechten. CVE-2025-49734 (CVSS-Score 7.0) in PowerShell Direct ermöglicht das Übernehmen von Admin-Sitzungen zwischen Host und VM. CVE-2025-55245 (CVSS-Score 7.8) im Xbox Live Auth Manager erlaubt gezieltes Löschen von Dateien, das sich für Privilegieneskalationen nutzen lässt.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Geschäftliche E-Mail

Bitte geben Sie eine gültige E-Mailadresse ein.

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Stand: 08.12.2025

Es ist für uns eine Selbstverständlichkeit, dass wir verantwortungsvoll mit Ihren personenbezogenen Daten umgehen. Sofern wir personenbezogene Daten von Ihnen erheben, verarbeiten wir diese unter Beachtung der geltenden Datenschutzvorschriften. Detaillierte Informationen finden Sie in unserer Datenschutzerklärung.

Einwilligung in die Verwendung von Daten zu Werbezwecken

Ich bin damit einverstanden, dass die Vogel IT-Medien GmbH, Max-Josef-Metzger-Straße 21, 86157 Augsburg, einschließlich aller mit ihr im Sinne der §§ 15 ff. AktG verbundenen Unternehmen (im weiteren: Vogel Communications Group) meine E-Mail-Adresse für die Zusendung von Newslettern und Werbung nutzt. Auflistungen der jeweils zugehörigen Unternehmen können hier abgerufen werden.

Der Newsletterinhalt erstreckt sich dabei auf Produkte und Dienstleistungen aller zuvor genannten Unternehmen, darunter beispielsweise Fachzeitschriften und Fachbücher, Veranstaltungen und Messen sowie veranstaltungsbezogene Produkte und Dienstleistungen, Print- und Digital-Mediaangebote und Services wie weitere (redaktionelle) Newsletter, Gewinnspiele, Lead-Kampagnen, Marktforschung im Online- und Offline-Bereich, fachspezifische Webportale und E-Learning-Angebote. Wenn auch meine persönliche Telefonnummer erhoben wurde, darf diese für die Unterbreitung von Angeboten der vorgenannten Produkte und Dienstleistungen der vorgenannten Unternehmen und Marktforschung genutzt werden.

Meine Einwilligung umfasst zudem die Verarbeitung meiner E-Mail-Adresse und Telefonnummer für den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern wie z.B. LinkedIN, Google und Meta. Hierfür darf die Vogel Communications Group die genannten Daten gehasht an Werbepartner übermitteln, die diese Daten dann nutzen, um feststellen zu können, ob ich ebenfalls Mitglied auf den besagten Werbepartnerportalen bin. Die Vogel Communications Group nutzt diese Funktion zu Zwecken des Retargeting (Upselling, Crossselling und Kundenbindung), der Generierung von sog. Lookalike Audiences zur Neukundengewinnung und als Ausschlussgrundlage für laufende Werbekampagnen. Weitere Informationen kann ich dem Abschnitt „Datenabgleich zu Marketingzwecken“ in der Datenschutzerklärung entnehmen.

Falls ich im Internet auf Portalen der Vogel Communications Group einschließlich deren mit ihr im Sinne der §§ 15 ff. AktG verbundenen Unternehmen geschützte Inhalte abrufe, muss ich mich mit weiteren Daten für den Zugang zu diesen Inhalten registrieren. Im Gegenzug für diesen gebührenlosen Zugang zu redaktionellen Inhalten dürfen meine Daten im Sinne dieser Einwilligung für die hier genannten Zwecke verwendet werden. Dies gilt nicht für den Datenabgleich zu Marketingzwecken.

Recht auf Widerruf

Mir ist bewusst, dass ich diese Einwilligung jederzeit für die Zukunft widerrufen kann. Durch meinen Widerruf wird die Rechtmäßigkeit der aufgrund meiner Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt. Um meinen Widerruf zu erklären, kann ich als eine Möglichkeit das unter https://contact.vogel.de abrufbare Kontaktformular nutzen. Sofern ich einzelne von mir abonnierte Newsletter nicht mehr erhalten möchte, kann ich darüber hinaus auch den am Ende eines Newsletters eingebundenen Abmeldelink anklicken. Weitere Informationen zu meinem Widerrufsrecht und dessen Ausübung sowie zu den Folgen meines Widerrufs finde ich in der Datenschutzerklärung.

Windows Update ist langsam und unflexibel geworden. Mit den neuen Checkpoint Updates bekommen Windows 11 und Windows Server 2025 inkrementelle Aktualisierungen, die sich schneller installieren und besser verteilen lassen. (Bild: Kiattisak - stock.adobe.com)

Fazit mit Risikoeinordnung

Die höchste Priorität liegt auf CVE-2025-55232 (HPC Pack, CVSS-Score 9.8), da ein anonymer, wormable Angriff möglich ist. Danach folgen NTLM (CVE-2025-54918, CVSS-Score 8.8) und die öffentlich bekannte SMB-Schwachstelle CVE-2025-55234 (CVSS-Score 8.8), die durch verfügbare Exploits ein besonders hohes Risiko darstellt. SharePoint (CVE-2025-54897, CVSS-Score 8.8), SQL Server (CVE-2025-55227, CVSS-Score 8.8) und Kernel (CVE-2025-54110, CVSS-Score 8.8) betreffen zentrale Infrastrukturrollen. Office- und Excel-RCEs zwischen CVSS-Scores von 7.8 und 8.4 sind praxisnahe Einfallstore über Dateien. Hyper-V-Fehler erlauben VM-zu-Host-Eskalationen, Defender Firewall Service und LSASS ergänzen die Angriffsfläche auf Systemebene.

Am Microsoft Patchday im Juni schließt der Hersteller einige Sicherheitslücken, die sehr leicht auszunutzen sind. (Bild: Dall-E / Vogel IT-Medien / KI-generiert)

Ihre Meinung zu den Patchday-News ist gefragt!

Seit vielen Jahren veröffentlichen wir regelmäßig Meldungen zum Microsoft Patchday. Wir würden gerne von Ihnen wissen, wie wir die Meldungen noch nützlicher für Ihre tägliche Arbeit machen können. Welche Infos wünschen Sie sich zusätzlich, was können wir übersichtlicher machen, was weglassen? Schreiben Sie uns eine E-Mail! Wir lesen jede Zuschrift, versprochen!

Microsoft-Produkte wie Windows, Azure, Office, Dynamics Visual Studio und viele mehr werden ausgemustert oder werden auf erweiterten Support umgestellt oder erhalten gar keinen Support mehr. (Bild: Dall-E / Vogel IT-Medien GmbH / KI-generiert)

(ID:50532373)