Microsoft-Sicherheit: Rekord 974 Lücken geschlossen, 2 Zero-Days aktiv
Veröffentlicht am: 09.09.2026 um 22:42 Uhr | Redaktion boerse-global.de
Microsoft hat am 8. September 2026 eine Rekordzahl an Sicherheitslücken geschlossen und damit den dritten Monat in Folge einen neuen Höchststand bei den monatlichen Sicherheitsupdates erreicht. Mit insgesamt 974 behobenen Schwachstellen (Common Vulnerabilities and Exposures, CVEs) übertrifft das aktuelle Paket die bisherigen Rekordwerte aus dem Juli mit 570 und dem August mit 400 Korrekturen deutlich.
Zwei aktiv ausgenutzte Zero-Day-Schwachstellen identifiziert
Im Rahmen der Veröffentlichungen vom 8. September 2026 wurden zwei Sicherheitslücken bekanntgegeben, die bereits aktiv für Angriffe ausgenutzt werden. Die Schwachstelle CVE-2026-85880 betrifft den Windows Advanced Local Procedure Call. Hierbei handelt es sich um einen Heap Buffer Overflow, der eine Eskalation von Berechtigungen bis auf SYSTEM-Ebene ermöglicht.
Die zweite aktiv ausgenutzte Lücke, CVE-2026-81963, befindet sich im Windows Update Stack. Diese ermöglicht durch das Verfolgen von Links (Link Following) ebenfalls eine Ausweitung von Benutzerrechten. Beide Zero-Day-Lücken wurden mit einem CVSS-Wert von 7.8 eingestuft.
Hohe Anzahl kritischer und potenziell wurmfähiger Lücken
Das Sicherheitsupdate umfasst eine hohe Anzahl an besonders riskanten Schwachstellen. Branchenberichte weisen unterschiedliche Zahlen für die als kritisch eingestuften Fehler aus, die zwischen 112 und 119 liegen.
Zudem sind im September-Paket 20 Schwachstellen enthalten, die als potenziell „wormable“ gelten, was bedeutet, dass sie sich ohne Nutzerinteraktion innerhalb von Netzwerken verbreiten könnten. Weitere 58 Sicherheitslücken werden von Experten als wahrscheinlich ausnutzbar eingestuft.
Unter den kritischen Fehlern finden sich mehrere Schwachstellen mit der höchstmöglichen Risikobewertung von CVSS 9.8. Dazu gehören CVE-2026-69730 im Windows DNS, ein unauthentifizierter Remote Code Execution (RCE) Fehler, der als Nachfolger der bekannten SigRed-Lücke gilt.
Ebenfalls mit 9.8 bewertet wurden Schwachstellen in den Remote Desktop Services (CVE-2026-69525), in der Windows Shell (CVE-2026-69829) sowie im Bereich DNS (CVE-2026-62878) und den Deployment Services (CVE-2026-62893).
Angesichts der massiven Zunahme an Sicherheitslücken ist proaktiver Schutz für Unternehmen wichtiger denn je. Dieser kostenlose Report klärt auf, welche Bedrohungen und rechtlichen Pflichten Unternehmer jetzt kennen müssen, um ihre IT-Sicherheit langfristig zu stärken. Cyber Security Awareness Report kostenlos herunterladen
Breite Abdeckung über Produktfamilien hinweg
Die Verteilung der 974 CVEs zeigt den Schwerpunkt der Korrekturen im Windows-Ökosystem:
* Windows: 723 Schwachstellen
* Office: 222 Schwachstellen (davon allein 111 in Office 2016)
* SQL Server: 62 Schwachstellen (einschließlich CVE-2026-65669 im SQL Copilot)
* Developer Tools: 22 Schwachstellen
* SharePoint: 16 Schwachstellen (einschließlich CVE-2026-69465)
* Azure: 12 Schwachstellen
* Skype for Business: 10 Schwachstellen
* Exchange Server: 9 Schwachstellen (darunter CVE-2026-55007 und CVE-2026-69380)
Weitere priorisierte Korrekturen betreffen den Microsoft Authenticator (CVE-2026-80097), DHCP (CVE-2026-62823) sowie den Kerberos-Authentifizierungs-Bypass (CVE-2026-69676).
Ursachen der Rekordzahlen und Risiken für Unternehmen
Das Jahr 2026 verzeichnet bisher eine massive Zunahme an entdeckten Schwachstellen. Mit bereits über 2.600 bis zu 2.760 gemeldeten CVEs in den ersten neun Monaten hat sich die Zahl im Vergleich zu den Vorjahren mehr als verdoppelt. Als wesentliche Ursache für diesen Anstieg gilt der Einsatz von KI-Modellen wie OpenAI und Anthropic Mythos, die verstärkt zur Entdeckung von Softwarefehlern genutzt werden.
Trotz der Rekordzahl an Patches wird bisher kein signifikanter Anstieg bei den tatsächlich im Feld beobachteten Exploits verzeichnet. Dennoch warnen IT-Sicherheitsexperten vor einem wachsenden „Patch-Gap“-Risiko.
Wer sich mit der Absicherung geschäftlicher IT befasst, sollte auch die Risiken durch neue KI-Technologien nicht unterschätzen. Erfahren Sie in diesem kostenlosen E-Book, wie Sie Sicherheitslücken schließen und Ihr Unternehmen ohne hohe Investitionen vor aktuellen Cyberbedrohungen schützen. Gratis-E-Book zur IT-Sicherheit jetzt sichern
Die schiere Menge an notwendigen Updates könne die IT-Abteilungen von Unternehmen überfordern und zu Verzögerungen bei der Absicherung führen. Die US-Sicherheitsbehörde CISA hat bereits reagiert und für die Umsetzung der aktuellen Microsoft-Patches eine Frist bis zum 22. September gesetzt.
