Microsoft hat mit den Sicherheitsupdates für September 2026 insgesamt 974 Schwachstellen im eigenen Softwareportfolio behoben. Zwei Windows-Lücken werden nach Angaben des Unternehmens bereits aktiv ausgenutzt: CVE-2026-85880 in Windows ALPC und CVE-2026-81963 im Windows Update Stack. Beide ermöglichen lokalen Angreifern eine Ausweitung ihrer Rechte bis auf die SYSTEM-Ebene.
Für Betreiber ist deshalb nicht die Rekordzahl der Patches der wichtigste Wert. Vorrang haben die beiden bestätigten Zero-Days, obwohl sie mit einem CVSS-Wert von jeweils 7,8 unter mehreren rein numerisch schwereren Schwachstellen liegen. Die entscheidende Einschränkung: Beide Lücken setzen voraus, dass ein Angreifer bereits lokal Code ausführen kann oder über einen autorisierten Zugang verfügt. Sie liefern also nicht zwangsläufig den ersten Zugang, können aber eine bereits laufende Angriffskette entscheidend verschärfen.
Zwei lokale Lücken führen zu SYSTEM-Rechten
CVE-2026-85880 ist ein heapbasierter Pufferüberlauf in Windows Advanced Local Procedure Call, kurz ALPC. Ein Angreifer, der Code in einem niedrig privilegierten AppContainer ausführen kann, kann damit nach Microsofts Beschreibung aus der Sandbox ausbrechen und SYSTEM-Rechte erlangen. Eine zusätzliche Interaktion des Benutzers ist nicht erforderlich.
Die bestätigte Ausnutzung macht die Schwachstelle unmittelbar relevant, obwohl sie keinen direkten, unauthentifizierten Angriff aus dem Internet beschreibt. In der Praxis eignet sich eine solche Rechteausweitung als zweite Stufe: Nach dem Eindringen über eine andere Lücke, kompromittierte Zugangsdaten oder schädlichen Code kann der Angreifer die Begrenzung eines niedrig privilegierten Prozesses überwinden.
Bei der Versionszuordnung ist eine genaue Inventarprüfung nötig. Nach den vorliegenden Produktangaben betrifft CVE-2026-85880 vor allem Windows-Versionen mit der älteren Codebasis. Windows 11 und Windows Server 2025 sind aufgrund überarbeiteter, teilweise in Rust implementierter Komponenten möglicherweise nicht betroffen. Administratoren sollten diese Einschränkung nicht pauschal auf sämtliche Builds übertragen, sondern die konkrete Edition im Microsoft Security Update Guide prüfen.
CVE-2026-81963 betrifft eine unsachgemäße Link-Auflösung im Windows Update Stack. Ein autorisierter lokaler Angreifer kann die Verarbeitung eines manipulierten Links ausnutzen und dadurch ebenfalls SYSTEM-Rechte erhalten. Als betroffene Plattformen werden Windows 11 in den Versionen 23H2, 24H2, 25H2 und 26H1 sowie Windows Server 2025 einschließlich Server Core geführt. Windows 10 und ältere Serverversionen sind nach den verifizierten Produktangaben nicht betroffen.
Aktive Ausnutzung schlägt den höheren CVSS-Wert
Microsoft hat bislang nicht offengelegt, wer die beiden Zero-Days ausnutzt, wie viele Angriffe beobachtet wurden oder ob diese zu bestätigten Kompromittierungen führten. Belastbar ist damit der Status aktiv ausgenutzt; Aussagen über eine großflächige Angriffswelle lassen sich daraus nicht ableiten. Ebenso liegen in den bereitgestellten Angaben keine Informationen über einen öffentlichen Exploit oder ein veröffentlichtes Proof of Concept vor.
Priorisierung des Microsoft-Patchdays
Die Grafik ordnet aktiv ausgenutzte lokale Zero-Days vor kritischen, aber bislang nicht als ausgenutzt gemeldeten Netzwerkfehlern ein.
Die US-Sicherheitsbehörde CISA nahm beide Schwachstellen am 8. September in ihren Katalog bekanntermaßen ausgenutzter Sicherheitslücken auf. US-Bundesbehörden der Federal Civilian Executive Branch müssen die Updates bis zum 22. September 2026 installieren. Für andere Organisationen ist diese Frist nicht verbindlich, der KEV-Eintrag ist aber ein belastbares Signal für die Patch-Priorisierung.
Mehrere kritische Netzwerkfehler folgen in der Priorität
Der September-Patchday umfasst 723 Schwachstellen in Windows, 111 in Office und Office 2016, 62 in SQL-Produkten sowie 22 in Entwicklerwerkzeugen. Mehr als 110 Fehler sind als kritisch eingestuft. Zusammen mit 25 Korrekturen für nicht von Microsoft vergebene CVEs kommt das Paket auf 999 behobene Schwachstellen.
Neben den Zero-Days enthält es mehrere Fehler mit einem CVSS-Wert von 9,8, die nicht authentifizierte Codeausführung über ein Netzwerk ermöglichen können. Dazu zählen CVE-2026-69525 in Windows Remote Desktop Services, CVE-2026-69595 in Windows Services for NFS, CVE-2026-69730 im Windows DNS Server, CVE-2026-69829 in der Windows Shell und CVE-2026-72979 im Windows DHCP Server. Für diese Schwachstellen wurde in der Meldung keine aktive Ausnutzung genannt.
Ihre operative Priorität hängt deshalb stärker von der eigenen Umgebung ab: Ein tatsächlich erreichbarer DNS-, DHCP-, RDS- oder NFS-Dienst kann dringlicher sein als eine Schwachstelle in einer nicht eingesetzten Komponente. Ebenfalls relevant sind eine Netzwerk-RCE in Exchange Server mit CVE-2026-55007 und CVSS 8,1, eine authentifizierte SharePoint-RCE mit CVE-2026-69465 sowie eine SQL-Server-Schwachstelle mit CVE-2026-65669 und CVSS 9,6.
Patch-Management wird zur Bestandsfrage
Eine einzelne universelle Zielversion gibt es für dieses produktübergreifende Updatepaket nicht. Betreiber müssen die September-Updates den vorhandenen Windows-Editionen, Serverrollen und Microsoft-Anwendungen zuordnen. Die sinnvolle Reihenfolge lautet: zuerst die beiden aktiv ausgenutzten Zero-Days auf nachweislich betroffenen Systemen, danach erreichbare Serverdienste mit möglicher Codeausführung und anschließend die übrigen Updates im regulären Test- und Rolloutverfahren.
Für Systeme, die möglicherweise bereits angegriffen wurden, reicht die Installation der Updates allein nicht aus. Dort sollten Sicherheitsteams zusätzlich nach ungewöhnlichen Rechteausweitungen, neu angelegten privilegierten Konten, manipulierten Systemkomponenten und verdächtigen Prozessen suchen. Der Patch verhindert eine erneute Ausnutzung, entfernt aber keine bereits erlangte Persistenz.
Nach Angaben der Zero Day Initiative hat Microsoft 2026 bereits 2.760 Sicherheitslücken geschlossen. KI-gestützte Schwachstellenforschung kann zu diesem Volumen beitragen; aus der Zahl allein lässt sich ihre Wirkung allerdings nicht isolieren. Sicher ist nur die operative Folge: Ein Patchday dieser Größe lässt sich nicht mehr sinnvoll nach der Länge der CVE-Liste bearbeiten. Entscheidend sind aktive Ausnutzung, vorhandene Produkte, exponierte Dienste und der tatsächliche Patchstand jedes einzelnen Systems.
Jens analysiert seit Jahren digitale Märkte, Preisbewegungen und Plattform-Strategien. Als Betreiber mehrerer datengetriebener Systeme wertet er täglich große Mengen an Produkt- und Trenddaten aus. Sein Fokus liegt auf Einordnung statt Hype: Was bedeutet eine Entwicklung wirklich für Nutzer, Preise und Märkte?
