LONDON (IT BOLTWISE) – Microsoft hat beim Update-Dienstag im September 973 Sicherheitslücken geschlossen, darunter zwei 0-Day-Fälle. Besonders kritisch sind dabei 113 als kritisch eingestufte Schwachstellen, darunter 83 RCE-Lücken, die im Angriffsszenario Code-Ausführung aus der Ferne ermöglichen. Laut den Angaben zur Ausnutzung sind zudem zwei Schwachstellen bereits Ziel aktiver Angriffe. Damit steigt für Administratoren der Druck, Windows, Office, Exchange und weitere betroffene Komponenten zeitnah zu patchen.
Beim Update-Dienstag im September 2026 hat Microsoft ein Paket geschnürt, das im Kern nach Rekord klingt: 973 neue Sicherheitslücken sollen geschlossen werden, wobei die Zahl deutlich über dem Niveau des Vormonats liegt. In der gleichen Mitteilung tauchen auch zwei 0-Day-Schwachstellen auf, die bereits jetzt im Fokus von Angreifern stehen können. Auffällig ist zudem das Verhältnis aus „Patch-Volumen“ und „Ausnutzung“: Laut Einordnung in den Details wächst die Zahl aktiv ausgenutzter Lücken bislang nicht im gleichen Maß mit. Genau dieses Muster wirkt auf Security-Teams oft wie ein Hinweis, dass sich die Angriffsökosysteme noch nicht vollständig auf die neuesten, speziell auf IT-Sicherheit getrimmten KI-Modelle umgestellt haben – oder dass die wirksame Verbreitung bislang nicht skaliert.
Technisch betrachtet verteilen sich die Schwachstellen auf mehrere Microsoft-Stacks, nicht nur auf das Betriebssystem. Neben Windows und Office werden auch Exchange Server, Hyper-V, Skype for Business, Windows Defender, Visual Studio sowie Microsofts Cloud-Dienste genannt. Insgesamt stuft Microsoft 113 der 973 Schwachstellen als kritisch ein, darunter 83 RCE-Lücken (Remote Code Execution). Der Rest fällt in die Kategorie „hohes Risiko“. Damit verschiebt sich der Fokus in der Praxis schnell von „irgendwelche Bugs“ hin zu Angriffspfaden, bei denen ein System ohne lange Benutzerinteraktion kompromittiert werden kann – ein Unterschied, der in der Incident-Response-Planung messbar ist.
Im Windows-Teil des Bulletins stechen zwei 0-Day-Lücken heraus, die Microsoft als bereits für Angriffe ausgenutzt beschreibt. Die CVE-2026-81963 im Windows-Update-Stack zielt auf Elevation of Privilege (EoP): Angreifer sollen sich dadurch höhere Berechtigungen verschaffen können, und zwar indem sie den Exploit mit einer RCE-Lücke kombinieren, sodass am Ende Code mit Systemberechtigungen möglich wird. Die zweite 0-Day-Lücke, CVE-2026-85880 in Windows Advanced Local Procedure Call (ALPC), ist ebenfalls eine EoP-Schwachstelle. Hier setzt das Szenario darauf, dass der Exploit-Code in einem Dokument „versteckt“ wird und der Benutzer den Angriff über das Starten des Dokuments auslöst. Für beide 0-Days bleibt zugleich unklar, wie breit die Angriffe bereits sind – ein relevanter Unsicherheitsfaktor, weil sich dadurch weder ein vollständiges Abwägen des Risikos noch eine saubere Priorisierung für alle Umgebungen ohne zusätzliche Telemetrie ableiten lässt.
Bei den kritischen Windows-Schadstellen nennt Microsoft 77 Schwachstellen als kritisch, darunter 56 RCE-Lücken. Ein Beispiel ist CVE-2026-69525 im Windows Remote Desktop-Dienst, also in einem Bereich, der in vielen Unternehmen sowieso aus Sicherheitsgründen stark kontrolliert und abgesichert wird. Ergänzend erreicht eine Use-after-free-Schwachstelle einen hohen CVSS-Score von 9.8 – das ist genau die Art von Kennzahl, die in der Praxis häufig für eine schnelle Patch-Entscheidung sorgt, weil sie auf eine belastbare Angriffsoberfläche hindeutet. Laut der Aufbereitung von Dustin Childs (Trend Micro ZDI) kommen außerdem weitere 20 Sicherheitslücken hinzu, vor allem in Windows-Diensten, die er als „wurm-tauglich“ identifiziert. Das heißt nicht automatisch, dass schon überall automatisierte Ausbreitung stattfindet, aber es erhöht die Dringlichkeit, weil ein einmal gestarteter Prozess schneller Wirkung entfalten kann, als es bei rein lokalem Threat typisch wäre.
Auch in angrenzenden Windows-Komponenten gibt es konkrete Angriffsflächen: Windows Hello umfasst neun Schwachstellen, acht davon sind ebenfalls als kritisch ausgewiesene EoP-Lücken. Im Biometriedienst mussten Microsoft zufolge 64 Lücken behoben werden; viele davon ähneln sich stark und folgen laut Beschreibung demselben Muster. In 56 Fällen handelt es sich um Pufferüberläufe. Zusätzlich nennt Microsoft CVE-2026-69727 als Möglichkeit für erhöhte Rechte über das Netzwerk und CVE-2026-73008 als Lücke, die persönliche Daten preisgeben kann. Für Administratoren ist das vor allem deshalb relevant, weil Identitäts- und Authentifizierungsumgebungen (wozu Windows Hello faktisch gehört) in vielen Firmen eng mit anderen Systemen und Berechtigungsstrukturen verknüpft sind – und weil dort eine Eskalation besonders teuer wird.
Die Edge-Updates greifen in eine weitere Dimension ein: Das Update auf Edge 152.0.4191.66 (vom 4. September) basiert auf Chromium 152.0.7977.83 und soll neben einer 0-Day-Lücke auch weitere Chromium-Schwachstellen schließen, die in der zuvor genannten Gesamtzahl nicht eingerechnet sind. Zeitgleich ist die neue Hauptversion von Chrome (153) freigegeben worden, in der laut Einordnung neben mehr als 200 teils kritischen Sicherheitslücken auch eine 0-Day-Lücke beseitigt ist. Zusammengenommen zeigt das: Browser-Patching ist im Microsoft-Ökosystem kein „nice to have“, sondern wirkt direkt auf die Angriffsoberfläche, selbst wenn das OS selbst schon aktualisiert wurde.
Bei Office konzentriert sich Microsoft auf RCE-Pfade und nennt 137 behobene Schwachstellen; das sind etwas mehr als im August. Unter den kritischen RCE-Lücken sind 22, davon allein fünf in Excel. Besonders kritisch ist die Angriffslogik „open-and-own“: Laut Beschreibung reichen bei vielen RCE-Szenarien bereits vorbereitete Dateien, die eine Schwachstelle beim Öffnen triggern. Das Vorschaufenster ist dabei oft schon ein Angriffsvektor, sodass nicht zwingend Office-Workflows mit „vollständigem Öffnen“ abgewartet werden müssen. In SharePoint schließt Microsoft 16 Lücken, davon sechs ebenfalls als RCE klassifiziert. Auch Exchange Server landet klar im Hochrisiko-Fokus: Neun Schwachstellen werden behoben, alle mit Einstufung „hohes Risiko“, darunter zwei RCE-Lücken (CVE-2026-55007 und CVE-2026-69355). Bei CVE-2026-55007 reicht es etwa, dass ein Angreifer eine Mail mit einer präparierten Visio-Datei sendet; der Exploit soll bei der Verarbeitung der Mail aktiviert werden – ohne dass dafür zwingend ein Vorschaufenster erforderlich sein muss.
Für die operative Seite ergibt sich daraus eine ziemlich eindeutige Priorisierung: Zuerst müssen Systeme in Bereichen mit hoher Exposition (Remote Desktop, Identitäts- und Biometrie-Komponenten, E-Mail-Flows in Exchange) behandelt werden, danach folgen die breit genutzten Produktivtools wie Office, SharePoint und die Browser-Updatekette. Das gilt nicht nur für einzelne Clients, sondern auch für Server und Virtualisierungskomponenten, weil Hyper-V und weitere Plattformen im Bulletin ebenfalls genannt werden. Wenn Patching aus organisatorischen Gründen gestaffelt werden muss, sollten Security-Teams zumindest sicherstellen, dass die relevanten Workloads in den ersten Wellen aktualisiert sind und dass Erkennungsteams die in den 0-Day-Fällen beschriebenen Mechanismen in der Überwachung berücksichtigen. Ergänzend nennt die Quelle als praxisnahe Absicherung, den PC zusätzlich mit einer geeigneten Antiviren-Lösung und – für Nutzer mit Fokus auf anonymes Surfen – mit einem VPN abzusichern.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Update-Dienstag September 2026: Microsoft schließt 973 Lücken – inklusive zwei 0-Day-Fälle" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Update-Dienstag September 2026: Microsoft schließt 973 Lücken – inklusive zwei 0-Day-Fälle" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Update-Dienstag September 2026: Microsoft schließt 973 Lücken – inklusive zwei 0-Day-Fälle« bei Google Deutschland suchen, bei Bing oder Google News!