IT-Sicherheit: Microsoft patcht 972 Lücken, SAP und Adobe folgen
Veröffentlicht am: 12.09.2026 um 17:18 Uhr | Redaktion boerse-global.de
Die Sicherheitslage für IT-Infrastrukturen in Unternehmen hat sich durch eine Häufung kritischer Schwachstellen in weit verbreiteter Software verschärft. Aktuelle Berichte von Fachmedien und Sicherheitsanalysten verdeutlichen die Notwendigkeit dringender Systemhärtungen und Patch-Installationen, wobei fehlerhafte Updates gleichzeitig die betriebliche Stabilität gefährden.
Insbesondere die jüngsten Veröffentlichungen von Microsoft, SAP und Adobe fordern die IT-Abteilungen durch eine hohe Anzahl an Sicherheitskorrekturen heraus.
Microsoft: Rekord-Patchday und Funktionsstörungen bei Server-Systemen
Am 8. September 2026 veröffentlichte Microsoft seinen monatlichen Patchday, der insgesamt 972 neue Sicherheitslücken (CVEs) adressiert. Unter Einbeziehung externer Quellen wie Chromium beläuft sich die Gesamtzahl auf 997 korrigierte Schwachstellen. Davon wurden 114 als kritisch eingestuft, wobei 20 Lücken als potenziell „wormable“ gelten, sich also ohne Nutzerinteraktion innerhalb von Netzwerken verbreiten könnten.
Besondere Aufmerksamkeit widmeten Sicherheitsforscher zwei Schwachstellen, die bereits aktiv ausgenutzt werden. Dabei handelt es sich um eine Lücke im Windows Update Stack (CVE-2026-81963) sowie eine Schwachstelle im Windows Advanced Local Procedure Call (ALPC, CVE-2026-85880), die beide einen CVSS-Wert von 7.8 aufweisen.
Zusätzlich zu den Sicherheitsrisiken verursachen die aktuellen Patches für Windows Server der Versionen 2016 bis 2025 erhebliche Betriebsstörungen. Berichten zufolge führen die Updates KB5122876 (Server 2019), KB5122882 (Server 2022) und KB5122871 (Server 2025) dazu, dass Remote Desktop Services (RDP) nach einigen Betriebsstunden ausfallen.
Betroffene Sitzungen lassen sich nicht mehr ordnungsgemäß trennen. Microsoft prüft den Vorfall derzeit; als einzige Abhilfe gilt bislang die Deinstallation der entsprechenden Updates.
SAP und Adobe: Höchstwertungen für kritische Schwachstellen
Ebenfalls am 8. September 2026 veröffentlichte SAP einen Notfall-Patch für eine als „OVERPASS“ bezeichnete Schwachstelle (CVE-2026-44756). Die Lücke im SAP-Kernel (Extended Passport) erhielt die höchste Kritikalitätsbewertung von CVSS 10.0. Sie ermöglicht unauthentifizierte Remotecodeausführungen (RCE) über verschiedene Kanäle wie Web (ICM), SAP GUI und RFC.
Betroffen sind Kernprodukte wie S/4HANA, ERP/ECC und NetWeaver. Obwohl bisher keine aktive Ausnutzung bekannt ist, rät das Unternehmen zur sofortigen Anwendung des Hinweises 3747649. Insgesamt umfasst der SAP-Patchday 22 Sicherheitshinweise, darunter fünf sogenannte „HotNews“.
Adobe reagierte bereits am 7. September 2026 mit einem Out-of-Band-Patch auf eine aktiv ausgenutzte Lücke in Adobe Commerce und Magento (CVE-2026-75650), bekannt als „StyleSmuggler“. Die unauthentifizierte RCE-Schwachstelle (CVSS 10.0) nutzt das Template-System aus.
Analysten beobachteten erste Kompromittierungen bereits 50 Minuten nach der ersten Ausnutzung am 4. September. Dabei wird ein 1,9 MB großes Rust-Implantat installiert, das sich als Systemdienst tarnt. Die US-Sicherheitsbehörde CISA nahm die Lücke am 8. September in ihren Katalog bekannter ausgenutzter Schwachstellen (KEV) auf.
Angesichts der rasanten Entwicklung von Sicherheitslücken müssen Unternehmen ihre IT-Infrastruktur heute proaktiv schützen. Dieser kostenlose Report klärt darüber auf, welche rechtlichen Pflichten und neuen Bedrohungen Unternehmer jetzt kennen müssen. Kostenlosen Cyber-Security-Report herunterladen
Notfall-Fixes bei GitLab, Check Point und N-able
Weitere kritische Schwachstellen betreffen die Zusammenarbeit und Netzwerksicherheit:
- GitLab: Ein Notfallpatch adressiert eine Path-Traversal-Lücke in der Repository-Commits-API (CVE-2026-85706, CVSS 10.0). Sie ermöglicht das unbefugte Lesen von Zugangsdaten in selbstverwalteten Instanzen ab Version 18.7. Erste automatisierte Scan-Versuche wurden bereits registriert.
- Check Point: Das Unternehmen veröffentlichte am 9. September 2026 Patches für zwei VPN-Zertifikatslücken (CVE-2026-85102 und CVE-2026-85103). Beide weisen einen CVSS-Wert von 9.8 auf und betreffen Security Gateways sowie Management Server.
- N-able: Für die Software N-central wurde am 6. September 2026 der vierte Notfall-Hotfix innerhalb von fünf Wochen bereitgestellt. Die Schwachstelle CVE-2026-86218 (CVSS 10.0) ermöglicht unauthentifizierte Code-Injektionen. Sicherheitsdienstleister berichteten am 4. September von der erneuten Kompromittierung eines bereits zuvor gepatchten Kundenservers.
Compliance und der Einsatz von Künstlicher Intelligenz
Parallel zur technischen Bedrohungslage steigen die regulatorischen Anforderungen. Seit dem 11. September 2026 gelten die Meldepflichten des EU Cyber Resilience Act (CRA). Unternehmen müssen schwere Vorfälle binnen 24 Stunden als Frühwarnung melden.
Neben technischen Schutzmaßnahmen rücken neue gesetzliche Vorgaben wie der EU AI Act zunehmend in den Fokus der Compliance-Abteilungen. Ein kostenloser Umsetzungsleitfaden bietet jetzt einen kompakten Überblick über alle neuen Anforderungen, Pflichten und Fristen für Unternehmen. Kostenloses E-Book zum EU AI Act sichern
Eine Bitkom-Umfrage unter 1003 Unternehmen ergab jedoch, dass nur 29 Prozent der Firmen die Bedeutung des CRA kennen, während das Thema für 28 Prozent gänzlich unbekannt ist. Zudem sind rund 29.500 deutsche Unternehmen von der NIS2-Richtlinie betroffen, bei deren Missachtung Bußgelder von bis zu 10 Millionen Euro oder 2 Prozent des Jahresumsatzes drohen.
Die IT-Sicherheit wird zudem zunehmend durch Künstliche Intelligenz (KI) geprägt. Während Angreifer Sprachmodelle für automatisiertes Spear-Phishing oder Deepfake-Voice-Anrufe nutzen, setzen Verteidiger KI-gestützte Anomalieerkennung (NDR/XDR) ein, um die täglich mehrere zehntausend Meldungen in Sicherheitszentren effizienter zu priorisieren. AI-Modelle stoßen jedoch bei gezielten Angriffen auf die Datenbasis (Data Poisoning) noch an ihre Grenzen.
