Mobile-Menu

Microsoft Patchday September 2026 Fast 1.000 Sicherheitslücken und ausgenutzte Zero-Days

Von Thomas Joos 5 min Lesedauer

Microsoft schließt mit dem September-Patchday rund 974 Sicherheitslücken, über 100 davon kritisch. Zwei Rechte­ausweitungen greifen Angreifer bereits an, öffentlich bekannt war vorab keine der beiden. Der Beitrag zeigt, welche Updates Administratoren zuerst einspielen sollten und welche Fehler Microsoft bereits selbst behoben hat.

974 Sicherheitslücken schließt Microsoft beim Patchday im September. Das ist der bisherige Schwachstellen-Rekord für 2026.(Bild: Dall-E / Vogel IT-Medien / KI-generiert)
974 Sicherheitslücken schließt Microsoft beim Patchday im September. Das ist der bisherige Schwachstellen-Rekord für 2026.
(Bild: Dall-E / Vogel IT-Medien / KI-generiert)

Microsoft veröffentlicht fast 1.000 CVEs bei seinem September-Patchday, davon über 100 kritisch. Im Mittelpunkt des Monats stehen zwei aktiv ausgenutzte Rechteausweitungen, die einem lokal angemeldeten Angreifer den Sprung auf SYSTEM erlauben. CVE-2026-81963 sitzt im Windows Update Stack, dem Unterbau der Update-Installation, und hat einen CVSS-Score von 7.8. Der Fehler beruht auf einer fehlerhaften Auflösung von Verknüpfungen vor dem Dateizugriff, über die ein Angreifer mit geringen Rechten eigene Dateien unter fremdem Kontext ablegen und darüber an volle Systemrechte gelangen kann. Microsoft bestätigt die aktive Ausnutzung, nennt aber keine Angriffsdetails.

Ransomware mit Systemrechten starten

Der zweite ausgenutzte Fehler CVE-2026-85880 steckt im Windows Advanced Local Procedure Call und liegt ebenfalls bei 7.8. Ein Heap-basierter Pufferüberlauf erlaubt einem Angreifer, der bereits Code in einem AppContainer mit geringen Rechten ausführt, den Ausbruch aus der Sandbox und den Aufstieg auf SYSTEM. Zutun eines Anwenders verlangt der Angriff nach Angaben von Microsoft nicht. Die Fehlerklasse lässt sich als von einem Anwender ausgelöst beschreiben, zum Beispiel über ein Dokument oder einen Mailanhang. Microsoft nennt keine Angriffsdetails und schreibt den Fund den Sicherheitsfirmen Volexity und Proofpoint zu.

Nach CVE-2023-21674 aus dem Januar 2023 ist es laut Satnam Narang, Sicherheitsforscher bei Tenable, der zweite ALPC-Zero-Day in knapp vier Jahren. Den letzten Fix in dieser Komponente hatte Microsoft im April 2023 ausgeliefert. Die US-Behörde CISA hat beide Fehler am 08.09.2026 in ihren Katalog bekannter ausgenutzter Schwachstellen aufgenommen. Über die Direktive BOD 26-04 verpflichtet sie Bundesbehörden zur vorrangigen Behebung.

Angreifer führen Code über zwanzig offene Netzwerkdienste aus

Die gefährlichsten Fehler des Monats erlauben entfernte Codeausführung ohne Anmeldung. Es lassen sich verschiedene Angriffe identifizieren, die als wurmfähig gelten. Ein solcher Angriff breitet sich ohne Zutun eines Anwenders von System zu System aus. CVE-2026-69730 im Windows DNS Server hat einen CVSS-Score von 9.8 und lässt sich unauthentifiziert über das Netz auslösen. Denselben Wert erreichen CVE-2026-69579 im Message Queuing Service und CVE-2026-69590 im Routing and Remote Access Service. Beide lassen sich aus der Ferne und ohne Rechte angreifen.

Im Windows Netlogon führt CVE-2026-72982 über einen stapelbasierten Pufferüberlauf mit 9.8 zur Ausführung von Fremdcode. CVE-2026-72979 im DHCP-Server und CVE-2026-73009 im Secure Socket Tunneling Protocol beruhen beide auf einem Use-after-free und erreichen ebenfalls 9.8. Alle drei Dienste nehmen die Anfrage ohne Anmeldung entgegen, sodass ein Angreifer im Netz keine gültigen Zugangsdaten braucht.

Etwas anders liegt der Fall bei den Remote Desktop Services, wo CVE-2026-69525 über einen Use-after-free ebenfalls Codeausführung mit 9.8 erlaubt. Microsoft schränkt den Angriff auf Quellen im selben Netz ein. Auf Domänencontrollern wirkt CVE-2026-69676 in Windows Kerberos, ein mit 8.8 bewerteter Fehler, den Microsoft als „Exploitation More Likely“ führt und bei dem ein angemeldeter Domänennutzer über eine präparierte Anfrage Code auf dem Domänencontroller ausführt.

Eine Mail führt Code auf dem Exchange-Server aus

In Exchange Server ermöglicht CVE-2026-55007 eine entfernte Codeausführung ohne Anmeldung, die einen CVSS-Score von 8.1 hat. Der Angriff kann über eine präparierte Visio-Datei im Anhang einer Mail erfolgen. Der Server führt den Code bereits beim Verarbeiten der Nachricht aus, also bevor ein Anwender sie im Vorschaufenster öffnet. Microsoft hält den Exploit für unzuverlässig, dennoch führt ein erfolgreicher Angriff eigenen Code im Kontext des Servers aus.

In SharePoint Server ermöglicht CVE-2026-69465 mit einem CVSS-Score von 8.8 eine Codeausführung, bei der ein angemeldeter Angreifer eine Sicherheitsprüfung umgeht und Code aus einem Dateisystem unter seiner Kontrolle nachlädt und im Kontext der Anwendung ausführt. Schwerer wiegt CVE-2026-78509 in Outlook mit 9.8. Die Metriken im Security Update Guide nennen das Vorschaufenster ausdrücklich als Angriffsweg. Der Angriff kommt ohne Zutun des Anwenders aus.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Microsoft schließt die KI-Schwachstellen ohne Zutun der Kunden

Die höchsten Bewertungen des Monats treffen die Cloud- und KI-Dienste, die Microsoft serverseitig behebt. CVE-2026-70352 in Azure AI Language erreicht den Maximalwert CVSS 10.0. Darüber hebt ein Angreifer unauthentifiziert über das Netz Rechte über die Dienstgrenzen hinaus an. Denselben Wert erreicht CVE-2026-83711 in Microsoft Azure Active Directory B2C. Knapp darunter liegt CVE-2026-83941 in Entra ID mit einem CVSS-Score von 9.9.

In Copilot Studio erlaubt CVE-2026-80098 eine Rechteausweitung über das Netz mit einem CVSS-Score von 9.3. In den Unternehmen bleibt für diese vier Fehler nichts zu tun, Microsoft kennzeichnet sie als bereits behoben.

Zutun verlangt CVE-2026-65669 im Microsoft SQL Server. Der Angriff setzt voraus, dass ein Anwender präparierte Anweisungen an SQL Copilot im SQL Server Management Studio übergibt. Gelingt das, erhält der Angreifer mit den Rechten dieses Anwenders Zugriff auf die Datenbank, was Microsoft mit 9.6 bewertet.

Fazit zum Patchday

Der September 2026 setzt einen neuen Höchststand und verschiebt das Risiko in zwei Richtungen. Am Endpunkt heben die beiden ausgenutzten Rechteausweitungen CVE-2026-81963 im Update Stack und CVE-2026-85880 im ALPC mit jeweils einem CVSS-Score von 7.8 lokale Rechte bis auf SYSTEM und taugen als zweite Stufe einer Angriffskette. Beide setzen lokalen Zugang voraus und wirken erst nach einem ersten Einbruch ins System.

Über das Netz bilden die zwanzig wurmfähigen Sicherheitslücken das größere Flächenrisiko, unter ihnen die DNS-Schwachstelle CVE-2026-69730, der Netlogon-Fehler CVE-2026-72982 und der SSTP-Fehler CVE-2026-73009 mit jeweils 9.8. Den Maximalwert CVSS 10.0 vergibt Microsoft zweimal, für Azure AI Language und für Azure Active Directory B2C. Beide Dienste hat der Anbieter selbst gepatcht, sodass die Arbeit im Rechenzentrum bei den Domänencontrollern und den Exchange-Servern beginnt. Dass mit Copilot Studio und dem SQL-Copilot auch die KI-Dienste selbst unter den kritischsten Fehlern stehen, kennzeichnet den Monat ebenso wie das Rekordvolumen.

Die Zero Day Initiative führt das Rekordvolumen an Schwachstellen auf die KI-gestützte Suche nach Schwachstellen zurück und hält fest, dass die Zahl der aktiven Angriffe auf dem bisherigen Stand bleibt. Auffällig bleibt, dass die KI-Dienste selbst unter den am höchsten bewerteten Sicherheitslücken stehen.

Ihre Meinung zu den Patchday-News ist gefragt!

Seit vielen Jahren veröffentlichen wir regelmäßig Meldungen zum Microsoft Patchday. Wir würden gerne von Ihnen wissen, wie wir die Meldungen noch nützlicher für Ihre tägliche Arbeit machen können. Welche Infos wünschen Sie sich zusätzlich, was können wir über­sichtlicher machen, was weglassen? Schreiben Sie uns eine E-Mail! Wir lesen jede Zuschrift, versprochen!

(ID:50944751)

Weiterführende Inhalte