LONDON (IT BOLTWISE) – Microsoft hat das monatliche Sicherheitsupdate für Windows und weitere Produkte veröffentlicht und behebt mindestens 973 Schwachstellen. Zwei davon gelten als bereits für Angriffe nutzbar, darunter Lücken zur Rechteausweitung (CVE-2026-81963 und CVE-2026-85880). Insgesamt stuft der Hersteller 113 Fehler als besonders kritisch ein. Für Administratoren steht damit weniger die Menge als die Priorisierung im Vordergrund.
Das September-Sicherheitsupdate 2026 trifft viele IT-Landschaften mit voller Wucht: Microsoft schließt laut veröffentlichtem Stand mindestens 973 Schwachstellen in Windows sowie in weiteren hauseigenen Komponenten. Damit fällt das Update in der Breite so umfangreich aus wie kein anderer Monat zuvor. Der Hersteller führt den schnellen Fortschritt bei der Schwachstellenfindung auch auf den verstärkten Einsatz von KI-gestützter Forschung zurück. In der Praxis verschiebt sich dadurch jedoch nicht das Grundproblem vieler Teams: Wer jeden Monat eine sehr große Zahl an Fixes prüfen, testen und ausrollen muss, verliert Zeit für saubere Priorisierung und riskiert Verzögerungen bei den tatsächlich gefährlichen Lücken.
Besonders brisant sind zwei Zero-Day-Lücken, die schon vor der Veröffentlichung des Updates für Angriffe aktiv gewesen sein sollen: CVE-2026-81963 und CVE-2026-85880. Beide erlauben Angreifern, auf einem Windows-System höhere Zugriffsrechte zu erlangen. Solche Privilege-Escalation-Ketten sind in der Realität oft der Schlüssel vom „ersten Fuß in der Tür“ zum dauerhaften Zugriff: Einmal mit erweiterten Rechten ausgestattet, lassen sich zusätzliche Schritte wie Persistenz, Credential-Diebstahl oder das Umgehen weiterer Schutzmechanismen deutlich einfacher umsetzen. Microsoft stuft darüber hinaus 113 der behobenen Fehler in die höchste Schweregradstufe ein, was das Risiko für Angriffe unterstreicht, die nicht nur einzelne Funktionen stören, sondern die vollständige Kontrolle über ein kompromittiertes System ermöglichen.
Bei den in der Meldung besonders hervorgehobenen Fällen zeigt sich ein Muster aus Remote-Code-Ausführung, Shell-/Subsystem-Schwächen und kritischen Fehlern in Kommunikations- und Dienste-Stacks. CVE-2026-69829 betrifft die Windows-Shell; die Lücke erreicht einen CVSS-Basiswert von 9,8 von maximal 10 und kann offenbar mit vergleichsweise geringem Aufwand ausgenutzt werden, ohne dass besondere Berechtigungen oder Nutzerinteraktion nötig wären. In derselben Größenordnung bewegt sich CVE-2026-66302 rund um Skype for Business Server (CVSS 9,8): Ein nicht authentifizierter Angreifer soll per präparierter Netzwerkanfrage eine von ihm kontrollierte Datei an beliebiger Stelle auf dem Server ablegen und daraufhin Code ausführen können, ohne dass sich jemand anmeldet oder eine Aktion auslöst. Hier ist in der Meldung zugleich eine wichtige Zusatzinformation enthalten: Für diese konkrete Lücke wird bislang keine aktive Ausnutzung berichtet, was in der Priorisierung trotzdem nicht „Entwarnung“ bedeutet, sondern eher ein Fenster für die proaktive Härtung und das schnelle Patchen der betroffenen Installationen.
Auch die klassischen Angriffswege über Netzwerkkommunikation und lokale Schnittstellen werden mit mehreren CVSS-9,8-Fällen adressiert. CVE-2026-69579 betrifft Windows Message Queuing (MSMQ): Ein Use-after-free-Fehler soll es einem nicht authentifizierten Angreifer ermöglichen, über ein präpariertes Netzwerkpaket ohne Nutzerinteraktion Code auszuführen. Für Organisationen heißt das: Wer MSMQ-Dienste noch betreibt, sollte die Systeme nach Dienstnutzung priorisieren, selbst wenn sie historisch als „intern“ oder „kontrolliert“ gelten. Ähnlich gelagert ist CVE-2026-69590 im Kontext von Windows RRAS; auch hier ermöglicht ein manipuliertes Netzwerkpaket die Remote-Code-Ausführung ohne Nutzerinteraktion, und der Patch wird besonders für Hosts empfohlen, auf denen der RRAS-Dienst aktiv ist. Parallel nennt die Meldung ausdrücklich risikomindernde Sofortmaßnahmen: Wenn ein Dienst nicht benötigt wird, kann man ihn deaktivieren; außerdem lässt sich das Risiko durch Einschränkung des Netzwerkzugriffs reduzieren, etwa durch passende Firewall- oder VPN-Restriktionen, bis das Update eingespielt ist.
Für den Patch-Plan ist schließlich die Rechteausweitung selbst der engste Flaschenhals. CVE-2026-81963 (als „wichtig“ eingestuft, CVSS 7,8) betrifft den Windows Update-Stack und führt zur Rechteausweitung. Ursache ist eine fehlerhafte Linkauflösung vor dem Dateizugriff; dadurch kann ein lokaler Angreifer mit bereits angemeldetem Kontext und vergleichsweise geringen Rechten Systemrechte erlangen. Betroffen sind Windows 11 sowie Windows Server 2025, inklusive Server-Core-Installationen, was die Zahl relevanter Betriebsmodelle erhöht, weil gerade Core-Setups oft hohe Automatisierung und geringe Interaktion bedeuten. CVE-2026-85880 (ebenfalls „wichtig“, CVSS 7,8) zielt auf Windows ALPC: Hier soll ein heap-basierter Pufferüberlauf aus einem AppContainer heraus die Sandbox verlassen und Systemrechte ermöglichen; ausgenutzt werden kann das offenbar ohne Nutzerinteraktion. Entsprechend sollten Mehrbenutzersysteme, exponierte Arbeitsplätze und Server mit lokalen Codeausführungsmöglichkeiten besonders rasch nachziehen.
Der September-Updatefokus steht außerdem nicht isoliert in der Branche. In der Meldung wird darauf hingewiesen, dass auch andere große Softwareanbieter zuletzt mit höherer Update-Frequenz und größeren Patch-Umfängen unterwegs waren und ebenfalls KI-gestützte Verfahren in der Schwachstellenforschung erwähnen. Für IT-Teams bedeutet das: „Updatefenster“ werden zu einem Dauerbetrieb, und die operative Realität verschiebt sich weg von einmaligen Routinezyklen hin zu kontinuierlicherem Schwachstellen-Management. Microsoft plant zwar keine automatische Vereinfachung der Priorisierung, aber die in der Meldung genannte Verfügbarkeit einer filterbaren Gesamtübersicht über das jeweilige Patch-Set (über ein öffentliches Dashboard unter patchlens.io) hilft dabei, die 973 Einträge in eine handhabbare Reihenfolge zu übersetzen. In der konkreten Umsetzung empfiehlt sich als Startpunkt die Schließung der beiden bereits aktiv ausgenutzten Rechteausweitungen (CVE-2026-81963 und CVE-2026-85880), bevor weitere exponierte Remote-Code-Ausführungsflächen wie Skype for Business, MSMQ und RRAS folgen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Windows September-Update 2026: 973 Lücken, davon 2 Zero-Days" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Windows September-Update 2026: 973 Lücken, davon 2 Zero-Days" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Windows September-Update 2026: 973 Lücken, davon 2 Zero-Days« bei Google Deutschland suchen, bei Bing oder Google News!