Microsoft hat das Sicherheitsupdate-Paket für September 2026 veröffentlicht, das ein Volumen erreicht, das jedes frühere Patch Tuesday übertrifft. Der offizielle Leitfaden fasst 974 Schwachstellen in eigenen Produkten zusammen. Indem weitere 25 CVE aufgenommen wurden, die nicht von Microsoft stammen, beläuft sich die Gesamtsumme auf 999.
Der Unterschied erklärt, warum einige Analysen von 974 Schwachstellen sprechen und andere sich der Tausend annähern. In den Zählungen erscheinen zudem unterschiedliche Werte, wenn Azure-Schwachstellen, die von Microsoft direkt behoben wurden, ausgeschlossen werden oder wenn dasselbe Problem, das in mehreren Versionen vorkommt, zusammengefasst wird. Die konsistenteste Referenz lautet: 974 Schwachstellen von Microsoft und insgesamt 999 Korrekturen.
Windows enthält 723 Schwachstellen des Pakets
Windows erhält den Großteil der Korrekturen, insgesamt 723 Schwachstellen. Office und Office 2016 summieren 111, SQL Server verzeichnet 62, und die Entwicklertools kommen auf 22. Der Rest verteilt sich auf Azure, Exchange Server, SharePoint Server, Entra ID, Microsoft Authenticator, Skype for Business und andere Unternehmenskomponenten.
Die Größe des Pakets zwingt dazu, das Volumen des Risikos getrennt zu betrachten. Eine Organisation wird nicht alle betroffenen Produkte installiert haben und nicht allen Angriffs-Szenarien ausgesetzt sein. Dennoch gibt es Remote-Code-Ausführungsfehler in Netzwerkdiensten und mehr als hundert Schwachstellen, die in den unterschiedlichen Zählungen als kritisch eingestuft werden. Die Systemverantwortlichen müssen prüfen, welche Server, Arbeitsstationen und Anwendungen vorhanden sind, bevor sie die Reihenfolge der Bereitstellung festlegen.
Die häufigsten Typen sind Privilegienerweiterung, Remote-Code-Ausführung und Offenlegung von Informationen. Die drei Kategorien bündeln fast 90 Prozent der behandelten Probleme. Das erschwert das Patchen in Unternehmen, die gleichzeitig Windows-Clients, SQL-Server, Kollaborationstools und Anwendungen von Microsoft 365 betreiben.
Zwei Windows-Schwachstellen wurden bereits in Angriffen genutzt
Die unmittelbare Priorität liegt bei CVE-2026-85880 und CVE-2026-81963, zwei Privilege-Escalation-Schwachstellen, die von Microsoft als aktiv ausgenutzt bestätigt werden. Beide haben eine CVSS-Bewertung von 7,8 und erfordern, dass der Angreifer lokal Code ausführen kann, wodurch sie allein keinen Fernzugang darstellen. Ihre Nutzbarkeit zeigt sich erst, nachdem man ersten Zugriff mit eingeschränkten Rechten erlangt hat.
CVE-2026-85880 betrifft Advanced Local Procedure Call (ALPC), das Kommunikationssystem zwischen Windows-Prozessen. Ein Heap-basierter Pufferüberlauf ermöglicht es, aus einem AppContainer mit wenigen Rechten zu entkommen und SYSTEM-Rechte zu erlangen. Die Ausnutzung erfordert keine weitere Benutzerinteraktion. ALPC ist Bestandteil aller unterstützten Windows-Versionen, daher muss der Patch Arbeitsstationen und Server erreichen.
CVE-2026-81963 befindet sich im Windows Update Stack und ergibt sich aus einer fehlerhaften Linkauflösung. Ein lokal autorisierter Angreifer kann sie nutzen, um Privilegien bis SYSTEM zu erhöhen, indem er beeinflusst, wie die Update-Pipeline einem Link folgt und eine Komponente ersetzt. Microsoft hat die Korrektur für alle Windows-Versionen veröffentlicht, die weiterhin unterstützt werden.
DNS, Remotedesktop und SQL Server benötigen Aufmerksamkeit
Zu den höchstbewerteten Schwachstellen gehören mehrere CVSS-9,8-Schwachstellen, die eine Remote-Code-Ausführung ermöglichen können. Sie betreffen Windows Remote Desktop Services, Windows DNS Server, Windows DHCP Server, den NFS ONCRPC XDR-Controller und Windows Shell. Ihre Präsenz in netzwerkzugänglichen Diensten legt nahe, zunächst die exponierten Systeme oder solche in sensiblen Segmenten zu überprüfen.
SQL Server enthält eine Injektions-Schwachstelle, identifiziert als CVE-2026-65669 und mit 9,6 bewertet, die es einem nicht authentifizierten Angreifer über das Netzwerk ermöglicht, Privilegien zu erhöhen. Exchange Server behebt CVE-2026-55007, ein Problem mit doppelter Speicherfreigabe, das zu Remote-Code-Ausführung führen kann. SharePoint Server erhält eine Korrektur für CVE-2026-69465, die von einem authentifizierten Benutzer ausgenutzt werden kann und mit 8,8 bewertet ist.
Office verdient eine eigene Prüfung. Von seinen kritischen Schwachstellen kann sich rund ein Dutzend über die Vorschau- oder Leseansicht aktivieren. Das reduziert die notwendige Interaktion, um schädliche Dokumente auszunutzen, und empfiehlt, die Produktivitätsanwendungen zusammen mit Windows zu aktualisieren, statt die Intervention nach der Installation des kumulativen Updates des Betriebssystems als abgeschlossen zu betrachten.
Microsoft verteilt die Korrekturen über Windows Update, den Microsoft Update Catalog und die üblichen Unternehmenswerkzeuge. In verwalteten Umgebungen empfiehlt es sich, mit den beiden ausgenutzten Schwachstellen zu beginnen, danach Dienste, die über externe Netzwerke erreichbar sind, zu adressieren und anschließend Exchange, SharePoint, SQL Server und Office entsprechend ihrer tatsächlichen Präsenz anzugehen. Die Testumgebungen bleiben notwendig, doch der aktive Einsatz der beiden Zero-Days rät davon ab, die allgemeine Bereitstellung ohne einen triftigen Grund zu verzögern.
