Microsoft schließt 974 Lücken – zwei Zero-Days werden bereits ausgenutzt
Microsoft hat am 8. September 2026 Sicherheitsupdates für 974 gemeldete Schwachstellen veröffentlicht. Zwei Windows-Lücken wurden zu diesem Zeitpunkt bereits aktiv ausgenutzt: CVE-2026-81963 im Windows Update Stack und CVE-2026-85880 in Windows Advanced Local Procedure Call (ALPC), wie die Aufschlüsselung von Malwarebytes festhält.
Die am 8. September bereitgestellten Korrekturen betreffen zwei lokale Rechteausweitungsfehler: Ein Angreifer braucht bereits einen Ausgangspunkt auf dem Gerät, kann dann aber höhere Berechtigungen erlangen. Das JPCERT/CC-Sicherheitsbulletin führt beide CVEs als in realen Angriffen ausgenutzt und empfiehlt, die Sicherheitsupdates über Microsoft Update, Windows Update oder die entsprechenden Unternehmenswerkzeuge einzuspielen.
Die beiden ausgenutzten Windows-Lücken stehen an erster Stelle
Für die Priorisierung ist der bestätigte Einsatz in Angriffen wichtiger als die ungewöhnlich hohe Gesamtzahl. Beide Schwachstellen setzen einen bereits autorisierten lokalen Angreifer voraus und dienen daher typischerweise nicht als unmittelbarer Erstzugang aus dem Internet. Sie können jedoch einen bestehenden Angriff verschärfen, indem sie den Wechsel aus einem eingeschränkten Kontext in einen höher privilegierten ermöglichen.
- CVE-2026-81963 – Windows Update Stack: Eine fehlerhafte Auflösung von Verknüpfungen vor einem Dateizugriff erlaubt einem autorisierten Angreifer, seine Rechte lokal auszuweiten. Betroffen ist damit eine Komponente, die an der Wartung und Aktualisierung von Windows beteiligt ist.
- CVE-2026-85880 – Windows ALPC: Ein heapbasierter Pufferüberlauf betrifft den Windows-Mechanismus für die lokale Kommunikation zwischen Prozessen. Ein Angreifer, der bereits Code mit niedrigen Rechten ausführen kann, kann die Schwachstelle zur lokalen Rechteausweitung verwenden.
Die Einstufung als aktiv ausgenutzt belegt nicht, dass eine breite Angriffswelle läuft. Die veröffentlichten Warnungen nennen weder Opferzahlen noch Regionen, beteiligte Angreifer oder konkrete Erstzugriffswege. Für die Patch-Reihenfolge genügt der bestätigte Missbrauch dennoch: Betroffene Windows-Systeme sollten nicht allein anhand des allgemeinen Schweregrads oder eines regulären Wartungsfensters nach hinten gestellt werden.
Warum die Gesamtzahlen zwischen 964 und 997 liegen
Die Zahl 974 bezeichnet Microsofts vollständige Liste für die September-Veröffentlichung. Die engere Zahl von 964 entsteht, wenn zehn Einträge abgezogen werden, die Cloud-Dienste betreffen oder Korrekturen darstellen, die Microsoft selbst einspielt. Für diese zehn Fälle müssen Kunden kein eigenes Update verteilen. Damit beschreiben 974 und 964 unterschiedliche operative Mengen und nicht zwei konkurrierende Feststellungen über dasselbe Patchpaket.
Andere Auswertungen ziehen die Grenze erneut anders. Die Analyse der Zero Day Initiative vom 8. September zählt 972 neue Microsoft-CVEs und kommt auf 997 Einträge, wenn zusätzlich externe sowie Chromium-bezogene Schwachstellen berücksichtigt werden. Die höhere Summe erweitert also den betrachteten Bestand; sie bedeutet nicht, dass Microsoft für 997 eigene, neue Produktlücken separate Kundenpatches veröffentlicht hat.
Für Administratoren sind deshalb drei Fragen auseinanderzuhalten: Wie viele CVEs stehen in Microsofts vollständiger Monatsliste, wie viele verlangen eine Aktion auf Kundensystemen und welche zusätzlichen Fehler anderer Hersteller oder bereits übernommener Komponenten nimmt eine Übersicht hinzu? Der Titel verwendet die bestätigte vollständige Microsoft-Zahl von 974; für die tatsächliche Verteilung sind dagegen nur die im eigenen Bestand relevanten Updates maßgeblich.
Welche Aktualisierung jetzt geprüft werden muss
An erster Stelle steht die Abdeckung von CVE-2026-81963 und CVE-2026-85880 auf allen betroffenen, noch unterstützten Windows-Versionen. In zentral verwalteten Umgebungen sollten Verantwortliche das jeweils freigegebene kumulative Update den vorhandenen Betriebssystemversionen zuordnen, in einer repräsentativen Gruppe auf betriebliche Probleme prüfen und anschließend breit verteilen. Die erfolgreiche Freigabe eines Pakets im Verwaltungssystem beweist noch nicht, dass jedes Gerät es installiert hat.
Nach der Verteilung zählt daher der gemeldete Zustand der Endgeräte und Server: fehlgeschlagene Installationen, ausstehende Neustarts, länger nicht erreichbare Geräte und durch Richtlinien ausgesetzte Updates müssen separat erfasst werden. Auf nicht zentral verwalteten Systemen erfolgt die Installation über Windows Update beziehungsweise Microsoft Update; nach einem erforderlichen Neustart sollte die erneute Updatesuche bestätigen, dass keine relevanten Pakete mehr ausstehen.
Die beiden Zero-Days bestimmen die erste Prioritätsstufe, ersetzen aber nicht die Prüfung des übrigen September-Pakets. Die Veröffentlichung umfasst neben Windows unter anderem Office, Azure-Komponenten, Exchange Server, SharePoint Server, SQL Server und Entwicklerwerkzeuge. Welche weiteren Korrekturen dringend sind, hängt deshalb vom tatsächlich eingesetzten Produktbestand und von der Erreichbarkeit der jeweiligen Systeme ab.
Was über die Angriffe noch nicht bekannt ist
Bestätigt sind bislang die Verfügbarkeit der September-Updates, die beiden betroffenen Windows-Komponenten und die Ausnutzung beider Schwachstellen vor beziehungsweise bei Erscheinen der Korrekturen. Öffentlich fehlen dagegen belastbare Angaben zum Umfang der Angriffe, zu den verantwortlichen Gruppen und dazu, mit welchen Schwachstellen oder Zugangsmethoden die Rechteausweitungsfehler kombiniert wurden.
Aus den verfügbaren Warnungen lässt sich deshalb keine Aussage über eine flächendeckende Kampagne ableiten. Der überprüfbare Stand bleibt: Microsoft hat die Korrekturen am 8. September 2026 veröffentlicht, beide Rechteausweitungsfehler werden aktiv ausgenutzt, und betroffene Systeme benötigen die für ihre jeweilige Version vorgesehenen Updates. Spätere technische Analysen können Angriffsketten und Reichweite genauer bestimmen, ändern aber nichts an der aktuellen Priorität dieser beiden CVEs.
Lesen Sie auch:
Newsletter abonnieren
Erhalten Sie die neuesten Nachrichten zu Web3, KI und Krypto direkt in Ihren Posteingang.