Windows 11 KB5124008: Microsoft schließt 974 Sicherheitslücken
Veröffentlicht am: 11.09.2026 um 02:22 Uhr | Redaktion boerse-global.de
Microsoft hat mit dem kumulativen Update KB5124008 für Windows 11 (Build 26200.9445 für Version 25H2 beziehungsweise 26100.9445 für Version 24H2) zwei Zero-Day-Schwachstellen geschlossen, die bereits aktiv ausgenutzt wurden.
Betroffen sind CVE-2026-81963 im Windows Update Stack, die eine lokale Rechteausweitung bis auf SYSTEM-Ebene ermöglichte, sowie CVE-2026-85880, ein Heap-Overflow in der ALPC-Komponente, der einen Ausbruch aus der Sandbox erlaubte.
Beide Lücken stehen auf der Liste bekannter, aktiv ausgenutzter Schwachstellen der US-Cybersicherheitsbehörde CISA. US-Bundesbehörden müssen die Patches bis zum 22. September 2026 einspielen.
Größter Patch-Tuesday der Geschichte
Das Update erschien im Rahmen des September-Patch-Days und behebt laut Zählungen von Rapid7 und der Zero Day Initiative insgesamt 974 Schwachstellen, wobei andere Tracker Zahlen zwischen 964 und 997 nennen – nach diesen Angaben die größte Anzahl in der Geschichte der monatlichen Patch-Tuesday-Veröffentlichungen.
Dustin Childs von der Zero Day Initiative zählte 972 neue beziehungsweise 997 Schwachstellen inklusive Chromium-Komponenten. Neben KB5124008 und KB5124012 für Windows 11 brachte Microsoft parallel KB5122878 für Windows 10 sowie KB5122880 für Version 23H2 heraus.
Angesichts rekordverdächtiger Sicherheitslücken wird ein stabiles System immer wichtiger. Dieser kostenlose Report zeigt Ihnen, wie Sie typische Update-Fehler und Systemprobleme unter Windows 11 einfach selbst beheben können. Erste Hilfe für Windows 11 kostenlos herunterladen
Von den behobenen Lücken gelten laut BleepingComputer 105 als kritisch, 81 ermöglichen Remote-Codeausführung. Andere Auswertungen stufen sogar über 110 Schwachstellen als kritisch ein, davon 20 als „wormable“ – sie könnten sich also selbstständig ohne Nutzerinteraktion verbreiten, etwa über DHCP, DNS, Netlogon, Message Queuing oder SMB.
Kritische Lücken in Exchange, Outlook und Remote Desktop
Besonders schwer wiegen mehrere Schwachstellen mit Risiko für Fernzugriffe. In Exchange Server erlaubt die Lücke CVE-2026-55007 eine Codeausführung allein durch eine E-Mail mit präpariertem Visio-Anhang, ohne dass eine Anmeldung nötig wäre. In Outlook wurde CVE-2026-78509 mit einem Schweregrad von 9,8 von 10 bewertet und lässt sich bereits über das Vorschaufenster auslösen.
Bei den Remote Desktop Services erreicht CVE-2026-69525 ebenfalls einen Wert von 9,8. Weitere geschlossene Lücken betreffen die Microsoft-Authenticator-App für Android (CVE-2026-80097, Diebstahl von Tokens), Kerberos auf Domain Controllern (CVE-2026-69676), den Windows DHCP Server mit 36 Einzel-Fixes sowie den Windows Biometric Service mit 64 Fixes, von denen 56 derselben Heap-Overflow-Klasse zugeordnet werden. Auch eine Lücke im SQL-Copilot (CVE-2026-65669) wurde behoben.
Zusätzlich entfernte Microsoft mit KB5124008 das veraltete Werkzeug WMIC vollständig aus dem System, statt es weiterhin als optionale Komponente anzubieten. Das Unternehmen empfiehlt Nutzern, auf Alternativen umzusteigen, da WMIC in der Vergangenheit wiederholt für Ransomware-Angriffe missbraucht wurde, etwa zum Löschen von Schattenkopien durch TeslaCrypt, Serpent, WhiteRose, Zenis oder WannaCry.
Wer sich gegen die wachsende Zahl an Bedrohungen wappnen möchte, findet in diesem Experten-Leitfaden schnelle Lösungen für ein sicheres System. Erfahren Sie, wie Sie kritische Fehler unter Windows 11 in wenigen Minuten ohne teure IT-Hilfe lösen. Kostenlosen Windows 11 Notfall-Report sichern
Über das Jahr 2026 summieren sich die von Microsoft veröffentlichten Fixes laut Ars Technica auf 2760 – mehr als doppelt so viele wie im Vorjahr. Bereits im Juli und August lagen die monatlichen Zahlen bei rund 570 beziehungsweise 620 behobenen Schwachstellen. Das Update wird schrittweise ausgerollt.
Die gehäuften Sicherheitsmeldungen fallen zudem in eine phase verschärfter regulatorischer Anforderungen: Ab dem 11. September 2026 gilt im Rahmen des EU Cyber Resilience Act eine Meldepflicht für aktiv ausgenutzte Schwachstellen, die je nach Schweregrad Fristen von 24 Stunden, 72 Stunden oder 14 Tagen vorsieht.
