Deutsche Landratten

Beim Patch Day am 8. September 2026 hat Microsoft Sicherheits-Updates bereitgestellt, die 973 neue Sicherheitslücken schließen sollen – die über 30 in Edge beseitigten Chromium-Lücken kommen noch obendrauf. Das sind mehr als doppelt so viele wie im Vormonat und einmal mehr ein neuer Rekord. Mehrere Hundert Lücken pro Monat dürften der neue Standard sein. Immerhin ist die Anzahl der aktiv ausgenutzten Sicherheitslücken bislang nicht mitgewachsen. Das könnte bedeuten, dass die Angreifer noch nicht über die neuesten, auf IT-Sicherheit spezialisierten „KI“-Modelle verfügen.

Neben Windows und Office sind auch Exchange Server, Hyper-V, Skype for Business, Windows Defender, Visual Studio und Microsofts Cloud-Dienste sowie weitere Produkte betroffen. Ganze 113 der 973 Schwachstellen stuft Microsoft als kritisch ein, darunter sind 83 RCE-Lücken (remote code execution). Die übrigen Sicherheitslücken sind als hohes Risiko ausgewiesen. Zwei Schwachstellen werden bereits für Angriffe ausgenutzt.

Die Details zu den Schwachstellen bietet Microsoft zum Selbstsuchen im Leitfaden für Sicherheitsupdates. Deutlich übersichtlicher bereitet Dustin Childs im Blog von Trend Micro ZDI das Thema Update-Dienstag auf – stets auch mit Blick auf Admins, die Unternehmensnetzwerke betreuen.

Schwachstellen in Windows

Ein großer Anteil der Schwachstellen, diesmal über 700, verteilt sich über die verschiedenen Windows-Versionen (10, 11, Server), für die Microsoft noch Sicherheits-Updates anbietet. Windows 10 wird weiterhin ganz normal als betroffenes System genannt, obwohl die Unterstützung im Oktober 2025 offiziell ausgelaufen ist – das lief bei Windows 7 noch anders, trotz ESU-Programm (Erweiterte Sicherheits-Updates). Microsoft hat das ESU-Programm für Windows 10 auf privat genutzten Rechnern bis 12. Oktober 2027 verlängert.

Windows unter Beschuss

In diesem Monat werden zwei Windows-Lücken bereits für Angriffe ausgenutzt, die als hohes Risiko ausgewiesen sind. Die Schwachstelle CVE-2026-81963 im Windows-Update-Stack ermöglicht es Angreifern, sich höhere Berechtigungen zu verschaffen (EoP: Elevation of Privilege). Dadurch können sie Code mit Systemberechtigungen ausführen, indem sie diesen Exploit mit einer RCE-Lücke kombinieren.

Auch die zweite 0-Day-Lücke, CVE-2026-85880 in Windows Advanced Local Procedure Call (ALPC), ist eine EoP-Lücke. Hier gilt es, den Exploit-Code in einem Dokument zu verbergen, um ihn durch einen Benutzer starten zu lassen. Bei beiden 0-Days ist unklar, wie verbreitet die Angriffe sind.

Kritische Windows-Lücken

Microsoft stuft 77 Windows-Schwachstellen als kritisch ein. darunter 56 RCE-Lücken. Dazu zählt etwa die RCE-Lücke CVE-2026-69525 im Windows Remote-Desktop-Dienst. Die UAF-Schwachstelle (use-after-free) erreicht den hohen CVSS Score 9.8. Dustin Childs listet weitere 20 Sicherheitslücken auf, vor allem solche in Windows-Diensten, die er als wurmtauglich identifiziert hat. Ein Angreifer könnte aus der Ferne ohne Authentifizierung und Benutzerinteraktion eingeschleusten Code ausführen.

Auch Windows Hello trägt mit neun Schwachstellen sein Scherflein bei. Acht davon sind als kritisch ausgewiesene EoP-Lücken. Im Biometriedienst musste Microsoft 64 Lücken stopfen – die meisten sind einander sehr ähnlich, folgen dem gleichen Schema. In 56 Fällen handelt es sich um Pufferüberläufe. CVE-2026-69727 ermöglicht erhöhte Rechte übers Netzwerk, CVE-2026-73008 gibt persönliche Daten preis – nichts, das man von einem Biometriedienst erwartet.
Edge-Updates beheben Chromium 0-Day-Lücke

Das neueste Sicherheits-Update auf Edge 152.0.4191.66 ist vom 4. September und basiert auf Chromium 152.0.7977.83. Es beseitigt eine 0-Day-Lücke sowie weitere Chromium-Schwachstellen, die bei der oben genannten Gesamtlückenanzahl nicht eingerechnet sind. In dieser Woche hat Google die neue Hauptversion Chrome 153 freigegeben, in der neben über 200 teils kritischen Sicherheitslücken auch eine neue 0-Day-Lücke beseitigt ist.

Über 100 Sicherheitslücken in Office geschlossen

In seinen Office-Produkten hat Microsoft 137 Schwachstellen beseitigt, etwas mehr als im August. Darunter sind 22 als kritisch eingestufte RCE-Lücken (remote code execution), allein fünf in Excel. Oft ist bei kritischen RCE-Lücken in Office bereits das Vorschaufenster ein Angriffsvektor – ein Benutzer muss eine präparierte Datei nicht erst mit Office öffnen, um eine erfolgreiche Attacke zu ermöglichen. Als hohes Risiko ausgewiesene RCE-Lücken können ausgenutzt werden, wenn ein Benutzer eine präparierte Office-Datei in einem anfälligen Office-Produkt öffnet (open-and-own). In Sharepoint hat Microsoft 16 Lücken geschlossen, sechs davon sind RCE-Lücken.