LONDON (IT BOLTWISE) – Microsoft hat im aktuellen Patch-Tuesday-Zyklus 974 CVEs in den eigenen Produkten geschlossen. Zwei dieser Lücken werden als bereits aktiv ausgenutzt eingestuft und zielen auf Windows-spezifische Komponenten ab, darunter ALPC und den Windows-Update-Stack. Parallel verschärft sich die Lage im E-Commerce: Adobe adressiert Zero-Day-Probleme in Magento bzw. Adobe Commerce, inklusive einer als „StyleSmuggler“ benannten Schwachstelle mit Remote-Code-Execution. Zusätzlich rückt ein weiterer Chrome-gebatchter Fehler (CVE-2026-85046) in den Blick, für den Microsoft noch keine eigene Sicherheitswarnung veröffentlicht hat.
Microsoft hat den Patch-Tuesday-Zyklus offenbar auf „Rekordmodus“ gestellt: In der aktuellen Runde sollen insgesamt 974 CVEs in Microsoft-Produkten behoben worden sein. Der Umfang ist dabei keine Momentaufnahme, sondern setzt eine Abwärtsdynamik außer Kraft: Von 421 Fixes im August ging es auf 622 im Juli, bevor der September mit dem neuen Maximum nachlegt. Für IT-Betriebe bedeutet das weniger die Frage „ob“ gepatcht wird, sondern „wie schnell“ und „mit welchen Prioritäten“, denn bei einer solchen Dichte erhöhen sich die Risiken für Schatteninstallationen, Softwareschnittstellen und selten genutzte Komponenten, die sonst oft in den Wartungsfenstern untergehen.
Technisch besonders brisant ist, dass in dieser Lieferung mindestens zwei Lücken als Zero-Day mit aktiver Ausnutzung eingeordnet werden. Im ersten Fall handelt es sich um CVE-2026-85880, eine Schwachstelle in Windows Advanced Local Procedure Call (ALPC), bei der erfolgreiche Ausnutzung laut Microsoft zu SYSTEM-Rechten führen kann. Auffällig ist die Formulierung, dass ein Angreifer mit Codeausführung in einem Low-Privilege AppContainer die Sandbox verlassen und Rechte eskalieren kann – und dass dafür keine zusätzliche Nutzerinteraktion erforderlich sein soll. Als Konsequenz verschiebt sich das Patch-Routing: Hier reicht es nicht, auf „spätere Prüfungen“ zu setzen, weil die Komponente ALPC gerade für lokale Kommunikationspfade relevant ist und damit typische Angriffs- und Ausführungswege abkürzt.
Beim zweiten Zero-Day liegt der Fokus auf CVE-2026-81963, ebenfalls als Privilege-Eskalationsproblem beschrieben, diesmal im Windows Update Stack. Auch hier ist die Kernaussage ähnlich: Das Problem kann zu SYSTEM-level access führen, Details zu Angriffsablauf und Einschleusung bleiben jedoch laut dem Bericht zunächst knapp. In der Einordnung wird aber deutlich, dass solche Fehler in Kombination mit weiteren Schwachstellen genutzt werden können, um Schadsoftware oder Ransomware zu verbreiten. Für Teams, die Patch-Wartungen nach „Netzwerkfläche“ planen, heißt das: Selbst wenn die betroffene Komponente nicht täglich auffällt, wirkt ein Fehler im Update-Umfeld besonders systemnah, weil er für Integrität und Lieferpfade des Systems zentral ist.
Neben Windows rückt der Bericht vor allem die E-Commerce-Front in den Fokus. Adobe hat parallel 10 Bulletins mit insgesamt 172 CVEs veröffentlicht und dabei eine „max-severity“-Lücke in Magento sowie im Nachfolger Adobe Commerce erwähnt, die als Zero-Day bereits missbraucht werde. Für CVE-2026-75650 – benannt als StyleSmuggler – wurde zudem ein Hotfix bereitgestellt, der für unautorisierte Angreifer Remote Code Execution ermöglichen soll. Besonders schwer wiegt hier die konkrete Angriffslogik: Der Fehler erlaubt das Einschleusen von bösartigem PHP-Code in Magento-Templates über „styles“-Eigenschaften, um Sicherheitsdetektionen zu umgehen. In bestätigten Fällen soll der Payload danach einen Backdoor-Mechanismus installieren, der eine Command-and-Control-Instanz kontaktiert und auf Befehle wartet; laut den genannten Forensik-Informationen gab es bislang jedoch keine Hinweise darauf, dass der Backdoor bereits selbst „ausgewandert“ und vollständig zur Waffe geworden ist.
Während für den E-Commerce-Teil schnelle Priorisierung nahe liegt, zeigt auch das restliche Patch-Portfolio, wie breit das Risiko in Microsofts September-Release gestreut ist. Ein Beispiel: In der Exchange-Landschaft wird CVE-2026-55007 als „the most important“ für den Messaging-Server genannt. Dort soll ein entfernter, nicht authentifizierter Angreifer über das Versenden einer E-Mail mit einem bösartigen Visio-Attachment Code auf einem verwundbaren Exchange-Server ausführen können, ohne dass User-Interaktion erforderlich ist. Der Mechanismus wird über das Content Indexing erklärt: Sobald der Server das Attachment während der Indizierung verarbeitet, soll der Code ausgeführt werden. Zusätzlich wird darauf hingewiesen, dass mehrere „wormable“ relevante Patches in der gleichen Freigabe auftauchen – gerade bei solchen Setups ist es ein Rechenproblem aus Logik und Zeit: Wer zuerst patcht, reduziert die Zahl möglicher Einschleusungsversuche pro Zeiteinheit.
Brisant wird die Lage aber nicht nur wegen dessen, was im September-Paket enthalten ist, sondern auch wegen dessen, was nicht sauber kommuniziert scheint. Der Bericht lenkt die Aufmerksamkeit auf CVE-2026-85046, eine Schwachstelle, die bereits am 3. September in Chrome gefixt wurde und für die dort gleichzeitig erwähnt wurde, dass einem Exploit dafür in der Wildnis bekannt sei. Technisch wird sie als Type-Confusion-Fehler im V8 JavaScript Engine beschrieben, der in Chrome und Edge zum Einsatz kommt. Gleichzeitig veröffentlicht Microsoft laut Bericht noch keine passende Sicherheitsanfrage oder ein Advisory, was eine administrative Lücke schafft: Wer nur nach offiziellen Hinweisen arbeitet, könnte eine exposure unbemerkt übersehen. Ein weiterer Hinweis im Text lautet, dass selbst wenn Patches existieren, die Abdeckung in Edge nicht klar belegt sei, bis Microsoft nachzieht.
Für die Praxis folgt daraus ein klarer Wartungsansatz: Microsofts Rekordgröße macht ein rein kalenderbasiertes Vorgehen gefährlich; stattdessen braucht es eine Priorisierung nach realer Ausnutzbarkeit, angreifbaren Angriffsflächen und Systemnähe. Teams sollten bei der Kombination aus Windows-Privilege-Eskalation und Exchange-Rendering-basierten Szenarien besonders stark prüfen, ob die betroffenen Systeme in den letzten Wochen von auffälligem Verhalten betroffen waren (z. B. Anzeichen für Sandbox-Umgehung oder ungewöhnliche Prozesse nach Indexierung). Im E-Commerce gilt der Dreiklang aus „Hotfix verfügbar“, „Versionen betroffen“ (von 2.4.4 bis einschließlich 2.4.9) und „bereits missbraucht“ als harter Trigger für schnelle Umsetzung. Und bei Fehlern wie CVE-2026-85046 wird die zweite Ebene sichtbar: Patch-Tracking darf nicht nur über Hersteller-Advisories laufen, sondern sollte über eine technische Inventarisierung und Abgleich von Engine-/Komponentenständen abgesichert werden.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Patch Tuesday: Microsoft liefert Rekord von 974 CVEs, kritische Zero-Days im Fokus" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Patch Tuesday: Microsoft liefert Rekord von 974 CVEs, kritische Zero-Days im Fokus" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Patch Tuesday: Microsoft liefert Rekord von 974 CVEs, kritische Zero-Days im Fokus« bei Google Deutschland suchen, bei Bing oder Google News!