Microsoft schließt 966 Schwachstellen, während zwei Windows-Zero-Days aktiv angegriffen werden

Microsoft hat am 8. September 2026 Sicherheitsupdates für 966 Schwachstellen veröffentlicht, darunter zwei Zero-Day-Lücken zur Rechteausweitung in Windows, die bereits ausgenutzt werden.

Beide Zero-Days ermöglichen Angreifern SYSTEM-Rechte, nachdem sie sich mit eingeschränkten Berechtigungen zunächst Zugriff verschafft haben. Eine Schwachstelle betrifft den Windows Update Stack, die andere ermöglicht über Windows Advanced Local Procedure Call den Ausbruch aus einem AppContainer mit geringen Rechten.

Microsoft stuft beide Schwachstellen als „Wichtig“ und nicht als „Kritisch“ ein. Beide erreichen einen CVSS-3.1-Basiswert von 7,8, erfordern lokalen Zugriff und geringe Berechtigungen und setzen keine Benutzerinteraktion voraus.

Rekord-Patch-Tuesday mit widersprüchlichen Kategorieangaben

Der Patch-Tuesday im September 2026 gilt als größtes Sicherheitsupdate in der bisherigen Geschichte von Microsoft. Die 966 Schwachstellen umfassen laut Angaben 105 kritische Probleme, wobei die veröffentlichte Aufschlüsselung für „Kritisch“ jedoch nur 104 Fälle ergibt:

• 81 Schwachstellen zur Ausführung von Remotecode
• 20 Schwachstellen zur Rechteausweitung
• Zwei Schwachstellen zur Offenlegung von Informationen
• Eine Schwachstelle zur Umgehung von Sicherheitsfunktionen

Auch die übergeordneten Kategorieangaben stimmen nicht vollständig mit der Gesamtzahl überein. Die gemeldete Verteilung umfasst etwa 438 Schwachstellen zur Rechteausweitung, 258 Probleme bei der Ausführung von Remotecode, 173 Fehler bei der Offenlegung von Informationen, 56 Schwachstellen zur Verweigerung von Diensten, 19 Schwachstellen zur Umgehung von Sicherheitsfunktionen und 16 Spoofing-Schwachstellen. Diese Zahlen ergeben zusammen 960.

Wegen dieser Abweichungen sollten die Kategorieangaben als Näherungswerte und nicht als vollständige, deduplizierte Aufstellung aller 966 Schwachstellen betrachtet werden.

Die Gesamtzahl umfasst die am Patch-Tuesday selbst veröffentlichten Schwachstellen. Weitere 204 Schwachstellen, die bereits zu Beginn des Monats in Diensten und Produkten wie Azure AI Language, Azure Cosmos DB, Copilot Studio, Entra ID, Mariner, Microsoft Azure Active Directory B2C, Microsoft Discovery Studio, dem auf Chromium basierenden Microsoft Edge, Microsoft Fabric und Power Automate behoben wurden, sind darin nicht enthalten.

Zum Vergleich: Im Juli behob Microsoft 570 Sicherheitslücken, im August waren es 400. Der starke Anstieg wird auf die Einführung eines durch künstliche Intelligenz unterstützten Systems zurückgeführt, mit dem zusätzliche Fehler im gesamten Softwareportfolio des Unternehmens gefunden werden sollen.

CVE-2026-81963 missbraucht die Verknüpfungsbehandlung in Windows Update

CVE-2026-81963 ist eine Schwachstelle zur Rechteausweitung im Windows Update Stack. Microsoft veröffentlichte den Sicherheitshinweis am 8. September 2026, stufte die Schwachstelle als „Wichtig“ ein und bestätigte, dass sie bereits ausgenutzt wird.

Die Schwachstelle beruht auf einer fehlerhaften Auflösung von Verknüpfungen vor dem Dateizugriff in Verbindung mit unzureichenden Zugriffskontrollen. Diese Art von Schwachstelle kann entstehen, wenn eine privilegierte Komponente einer Dateisystemverknüpfung folgt, ohne ausreichend zu überprüfen, wohin sie führt oder ob der Zielort sicher aufgerufen werden kann.

Laut Microsoft kann ein authentifizierter lokaler Angreifer mit geringen Berechtigungen den Fehler ohne Benutzerinteraktion ausnutzen. Die Angriffskomplexität ist niedrig, und eine erfolgreiche Ausnutzung kann SYSTEM-Zugriff ermöglichen.

Der CVSS-Vektor lautet:

CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Daraus ergibt sich ein Basiswert von 7,8. Microsoft weist außerdem einen zeitlichen Wert von 7,2 aus, stuft die Reife des Exploit-Codes als funktional ein und meldet ein hohes potenzielles Ausmaß für Vertraulichkeit, Integrität und Verfügbarkeit.

Die Schwachstelle war vor Veröffentlichung des Sicherheitshinweises nicht öffentlich bekannt. Als Entdecker werden Romain Deperne und das Microsoft Threat Intelligence Centre genannt. Microsoft hat weder die beobachteten Angriffe und ihre Ziele noch die Methode für den Erstzugriff oder die Einbindung des Exploits in eine umfassendere Angriffskette beschrieben.

Ein offizieller Fix ist verfügbar. Eine Umgehungslösung oder vorübergehende Abhilfemaßnahme wurde nicht veröffentlicht.

CVE-2026-85880 ermöglicht einen AppContainer-Ausbruch über ALPC

Der zweite ausgenutzte Zero-Day, CVE-2026-85880, betrifft Windows Advanced Local Procedure Call. ALPC ist ein Betriebssystemmechanismus für die Kommunikation zwischen Prozessen. Schwachstellen in diesem Bereich können daher für Angreifer besonders wertvoll sein, die Sicherheitsgrenzen überwinden wollen.

Microsoft führt die Schwachstelle auf einen Heap-basierten Pufferüberlauf und die Verwendung einer nicht initialisierten Ressource zurück. Ein Angreifer, der bereits Code in einem AppContainer mit geringen Berechtigungen ausführen kann, kann die Schwachstelle lokal ausnutzen, aus der Sandbox ausbrechen und seine Rechte bis auf SYSTEM-Ebene ausweiten.

Weitere Benutzerinteraktion ist nicht erforderlich. Wie bei CVE-2026-81963 ist die Angriffskomplexität niedrig, es sind geringe Berechtigungen erforderlich, und die Folgen für Vertraulichkeit, Integrität und Verfügbarkeit können schwerwiegend sein.

Der CVSS-Vektor ist identisch:

CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Der Basiswert beträgt 7,8, während Microsoft einen zeitlichen Wert von 6,8 angibt. Im Sicherheitshinweis wird eine Ausnutzung bestätigt, die Reife des Exploit-Codes jedoch als nicht erwiesen eingestuft. Microsoft hat weder die technischen Abläufe der Angriffe offengelegt noch betroffene Organisationen identifiziert.

Volexity und Proofpoint werden als Entdecker genannt. Die Forscher Mark Kelly, David Galazin und Jeremy Hedges wurden in Berichten zur Veröffentlichung ebenfalls mit der Entdeckung in Verbindung gebracht.

Ein offizieller Patch ist verfügbar. Microsoft hat jedoch keine Umgehungslösung, Kompromittierungsindikatoren, Erkennungssignaturen oder detaillierten Informationen zur Angriffskette bereitgestellt.

Gefährdung von Windows-, Identitäts- und Entwicklungssystemen

Bei den beiden aktiv ausgenutzten Schwachstellen handelt es sich um lokale Schwachstellen zur Rechteausweitung und nicht um Lücken für den Erstzugriff. Ein Angreifer muss also bereits in der Lage sein, Code auf dem Zielsystem auszuführen. Dennoch können die Schwachstellen eine eingeschränkte Kompromittierung in die vollständige Kontrolle über das Betriebssystem verwandeln.

CVE-2026-85880 ist besonders relevant, wenn nicht vertrauenswürdige oder potenziell schädliche Anwendungen innerhalb der AppContainer-Isolierung ausgeführt werden. CVE-2026-81963 sollte auf Windows-Endpunkten besondere Aufmerksamkeit erhalten, wenn Benutzer mit geringen Rechten oder kompromittierte Prozesse mit privilegierten Update-Vorgängen interagieren könnten.

Die konkret betroffenen Windows-Editionen, Builds und Wartungskonfigurationen wurden in den verfügbaren Informationen nicht offengelegt. Administratoren sollten daher anhand des produktspezifischen Updatekatalogs von Microsoft und ihrer Plattformen für die Endpunktverwaltung prüfen, ob die Updates relevant sind, anstatt sich auf eine eng gefasste Versionsliste zu verlassen.

Die umfassendere Veröffentlichung deckt zahlreiche Komponenten in Unternehmen ab. Die Liste umfasst Schwachstellen in:

• .NET und Visual Studio
• Active Directory Certificate Services, Domain Services und Federation Services
• ASP.NET Core
• Azure Arc SQL Server Extension, Azure CycleCloud und Azure HDInsight Ambari
• GitHub Copilot und Visual Studio Code
• Windows-Treibern, der Schriftverarbeitung, IP Helper und Kernel-Streaming-Komponenten
• Mariner-Paketen und Kernel-Subsystemen

Zu den bemerkenswerten kritischen Einträgen gehören Schwachstellen zur Ausführung von Remotecode in Windows Graphic Fonts und IP Helper. Für Active Directory Domain Services wurden ebenfalls Fehler bei der Ausführung von Remotecode, bei der Verweigerung von Diensten und bei der Rechteausweitung behoben.

Mehrere Probleme in Entwicklungsplattformen erreichen auch ohne die Einstufung als „Kritisch“ hohe Werte. CVE-2026-69439 in .NET und Visual Studio hat einen CVSS-Wert von 8,8 und einen netzwerkbasierten Vektor, der Benutzerinteraktion erfordert. CVE-2026-69805 in .NET erreicht 7,5, CVE-2026-69806 kommt auf 7,0.

KEV-Status der beiden neuen Zero-Days weiterhin unbestätigt

Es liegen keine bestätigten Informationen darüber vor, dass CVE-2026-81963 oder CVE-2026-85880 in den Katalog der bekannten ausgenutzten Schwachstellen der US Cybersecurity and Infrastructure Security Agency aufgenommen wurde. Daher ist für keine der beiden Schwachstellen ein Aufnahmedatum in den KEV-Katalog oder eine Frist für die Behebung durch Bundesbehörden bekannt.

Mehrere andere Schwachstellen von Microsoft wurden in den vergangenen 90 Tagen jedoch in den Katalog aufgenommen:

• CVE-2019-1068 am 26. August 2026
• CVE-2026-55040 und CVE-2026-33824 am 18. August 2026
• CVE-2026-68820 am 11. August 2026
• CVE-2026-50522 am 22. Juli 2026
• CVE-2026-58644 am 16. Juli 2026

Das Fehlen eines bestätigten KEV-Eintrags verringert das unmittelbare Risiko der Zero-Days aus dem September nicht. Microsoft hat unabhängig davon bestätigt, dass beide Schwachstellen bei realen Angriffen ausgenutzt werden.

Patchen sollte zunächst auf Systeme mit nicht vertrauenswürdigem Code konzentriert werden

Unternehmen sollten die relevanten Windows-Updates für September 2026 als erste Schutzmaßnahme verteilen. Für keine der beiden ausgenutzten Schwachstellen wurden Umgehungslösungen veröffentlicht.

Priorität sollten Endpunkte und Server erhalten, auf denen Benutzer mit geringen Berechtigungen, Sandbox-Anwendungen oder potenziell nicht vertrauenswürdiger Code ausgeführt werden können. Sicherheitsteams sollten außerdem überprüfen, ob die Installationen erfolgreich abgeschlossen wurden und ob ein Neustart erforderlich war und durchgeführt wurde.

Da keine spezifischen Kompromittierungsindikatoren verfügbar sind, können sich Verteidiger nicht auf einen einfachen Hash, Dateinamen oder Ereignisbezeichner verlassen. Untersuchungen sollten stattdessen Telemetriedaten von Endpunkten mit Verhaltenshinweisen auf unerwartete Rechteübergänge, AppContainer-Ausbrüche, verdächtige ALPC-bezogene Aktivitäten und ungewöhnliche Vorgänge mit Windows-Update-Komponenten kombinieren.

Die praktischen Maßnahmen sind klar:

1. Die offiziellen Fixes für CVE-2026-81963 und CVE-2026-85880 sofort installieren.
2. Anhand des Katalogs von Microsoft prüfen, ob die Updates relevant sind, da hier keine genauen betroffenen Versionen angegeben werden.
3. Installations- und Neustartstatus auf allen verwalteten Windows-Systemen überprüfen.
4. Die Endpunkttelemetrie auf Prozesse mit geringen Berechtigungen untersuchen, die unerwartet Aktivitäten auf SYSTEM-Ebene starten oder steuern.
5. Die separaten Updates installieren, die Anfang dieses Monats für Microsoft-Cloud-, Identitäts-, Browser- und Automatisierungsprodukte veröffentlicht wurden.

Der Umfang dieser Veröffentlichung wird Tests und Verteilung in großen Umgebungen erschweren. Die beiden ausgenutzten Windows-Schwachstellen sollten jedoch nicht hinter den übrigen 966 Einträgen der Patch-Warteschlange zurückstehen.