Patchday-Rekord: Fast 1.000 Sicherheitslücken in Windows, Office und Co.
Microsoft hat zum September-Patchday mal wieder einen neuen Rekord aufgestellt. Erstmals hat der Konzern über all seine Produkte hinweg innerhalb eines Monats fast 1.000 Sicherheitslücken geschlossen. Viele davon entfallen wie üblich auf das Betriebssystem Windows. Zwei dieser Lücken werden sogar schon aktiv ausgenutzt. Anwender sollten die neuesten Updates daher zügig einspielen.
Laut Microsofts Release-Ankündigung(öffnet im neuen Fenster) beläuft sich die Anzahl der Sicherheitslücken, die das Unternehmen zum September-Patchday geschlossen hat, auf 974. Hinzu kommen 25 Patches aus Drittanbieterprojekten. Insgesamt werden mit den September-Updates also 999 Sicherheitslücken adressiert.
723 Lücken werden alleine dem Betriebssystem Windows zugeschrieben. Weitere 111 Sicherheitslücken ordnet Microsoft jeweils Microsoft Office (ohne 2016) und Office 2016 zu, 62 Lücken der SQL-Produktfamilie, 22 den Entwicklertools, 16 Sharepoint Server und 12 Microsoft Azure. Die übrigen Lücken verteilen sich auf Skype for Business, Exchange Server und andere Produkte.
Windows-Systeme unter Beschuss
Hinweise auf eine aktive Ausnutzung gibt es laut Microsoft bisher nur für CVE-2026-81963(öffnet im neuen Fenster) und CVE-2026-85880(öffnet im neuen Fenster). Die beiden Lücken erreichen jeweils einen hohen Schweregrad (CVSS: 7,8) und ermöglichen eine Rechteausweitung auf "System" – in einem Fall über den Windows-Update-Stack, im anderen über die ALPC-Komponente (Advanced Local Procedure Call) von Windows.
Neben diesen Lücken gibt es allerdings noch andere erwähnenswerte Schwachstellen. Dustin Childs von der Zero Day Initiative (ZDI) hebt in einem Blogbeitrag(öffnet im neuen Fenster) beispielsweise CVE-2026-55007(öffnet im neuen Fenster) hervor. Damit können Angreifer Schadcode auf Exchange-Servern zur Ausführung bringen, indem sie lediglich Mails mit einem speziell gestalteten Visio-Anhang verschicken.
Wurmartige Angriffe möglich
Childs hat in Microsofts September-Patchday-Release nach eigenen Angaben 20 Sicherheitslücken identifiziert, die er als "wormable" einstuft. Sie eignen sich also, um Schadcode automatisiert und ohne Nutzerinteraktion innerhalb kurzer Zeit auf unzählige Windows-Systeme zu verbreiten. Die 20 Lücken klaffen unter anderem im DHCP-(öffnet im neuen Fenster) und DNS-Server(öffnet im neuen Fenster) sowie Netlogon(öffnet im neuen Fenster), dem SMB-Client(öffnet im neuen Fenster) und vielen weiteren(öffnet im neuen Fenster) Windows-Komponenten.
Nach Zählung der ZDI hat Microsoft im Jahr 2026 bisher insgesamt 2.760 Sicherheitslücken geschlossen – und damit schon mehr als doppelt so viele wie im gesamten vorherigen Rekordjahr 2020, als es 1.250 Lücken waren. Der sprunghafte Anstieg dürfte vor allem auf den Einsatz von KI zurückzuführen sein, der die Schwachstellenforschung auch bei anderen Softwareprojekten zuletzt massiv anfachte.
Wir öffnen unsere neue Community für weitere Mitglieder! Möchtest du in konstruktiver und respektvoller Atmosphäre mit anderen IT-Experten über deine Themen sprechen? Sei dabei und melde dich an!
- Anzeige Hier geht es zum Microsoft Exchange Server 2019 Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.