Microsoft hat mit dem September-Patchday einen neuen Höchststand erreicht und schließt rund 974 Sicherheitslücken, mehr als 100 davon mit kritischem Schweregrad. Im Zentrum des Updates stehen zwei Rechteausweitungen, die Angreifer bereits aktiv ausnutzen, ohne dass vorab Details dazu öffentlich bekannt waren.
Zwei Zero-Days ermöglichen den Sprung auf Systemrechte
CVE-2026-81963 sitzt im Windows Update Stack, dem Unterbau der Update-Installation, und erreicht einen CVSS-Score von 7.8. Der Fehler beruht auf einer fehlerhaften Auflösung von Verknüpfungen vor dem Dateizugriff. Ein Angreifer mit geringen Rechten kann darüber eigene Dateien unter fremdem Kontext ablegen und sich so volle Systemrechte verschaffen. Microsoft bestätigt die aktive Ausnutzung, nennt aber keine weiteren Angriffsdetails.
Der zweite ausgenutzte Fehler, CVE-2026-85880, steckt im Windows Advanced Local Procedure Call und liegt ebenfalls bei 7.8. Ein heapbasierter Pufferüberlauf erlaubt einem Angreifer, der bereits mit geringen Rechten Code in einem AppContainer ausführt, den Ausbruch aus der Sandbox und den Aufstieg auf SYSTEM. Ein Zutun der Nutzerin oder des Nutzers ist dafür laut Microsoft nicht nötig. Den Fund schreibt Microsoft den Sicherheitsfirmen Volexity und Proofpoint zu. Satnam Narang, Sicherheitsforscher bei Tenable, weist darauf hin, dass es sich erst um den zweiten ALPC-Zero-Day seit CVE-2023-21674 aus dem Januar 2023 handelt. Die US-Behörde CISA hat beide Lücken bereits in ihren Katalog bekannter ausgenutzter Schwachstellen aufgenommen und verpflichtet Bundesbehörden über die Direktive BOD 26-04 zur vorrangigen Behebung.
Zwanzig wurmfähige Lücken im Netzwerk
Als wurmfähig gelten Angriffe, die sich ohne Zutun einer Nutzerin oder eines Nutzers von System zu System ausbreiten können, und davon zählt der September gleich zwanzig. CVE-2026-69730 im Windows DNS Server erreicht einen CVSS-Wert von 9.8 und lässt sich unauthentifiziert über das Netz auslösen. Denselben Wert erreichen CVE-2026-69579 im Message Queuing Service und CVE-2026-69590 im Routing and Remote Access Service, beide ebenfalls aus der Ferne und ohne Zugangsdaten angreifbar. Im Windows Netlogon führt CVE-2026-72982 über einen stapelbasierten Pufferüberlauf mit demselben Höchstwert zur Codeausführung. CVE-2026-72979 im DHCP-Server und CVE-2026-73009 im Secure Socket Tunneling Protocol beruhen beide auf einem Use-after-free und liegen ebenfalls bei 9.8. Etwas anders liegt der Fall bei CVE-2026-69525 in den Remote Desktop Services, wo Microsoft den Angriff auf Quellen im selben Netz einschränkt. Auf Domänencontrollern betrifft CVE-2026-69676 in Windows Kerberos angemeldete Domänennutzer, die über eine präparierte Anfrage Code auf dem Controller ausführen können. Microsoft stuft diese Lücke als besonders wahrscheinlich für eine Ausnutzung ein.
Codeausführung über Mail und Dokumente
In Exchange Server ermöglicht CVE-2026-55007 eine entfernte Codeausführung ohne Anmeldung, ausgelöst über eine präparierte Visio-Datei im Anhang einer Mail. Der Server verarbeitet den Code bereits beim Empfang der Nachricht, noch bevor eine Nutzerin oder ein Nutzer sie im Vorschaufenster öffnet. In SharePoint Server erlaubt CVE-2026-69465 einer angemeldeten Angreiferin oder einem angemeldeten Angreifer, eine Sicherheitsprüfung zu umgehen und Code aus einem selbst kontrollierten Dateisystem nachzuladen. Noch kritischer ist CVE-2026-78509 in Outlook mit einem CVSS-Wert von 9.8, bei dem bereits das Vorschaufenster als Angriffsweg ausreicht, ganz ohne weiteres Zutun.
Cloud- und KI-Dienste mit den höchsten Werten
Die höchsten Bewertungen des Monats treffen ausgerechnet Cloud- und KI-Dienste, die Microsoft serverseitig behebt. CVE-2026-70352 in Azure AI Language erreicht mit 10.0 den Maximalwert, ebenso CVE-2026-83711 in Azure Active Directory B2C. Knapp darunter liegt CVE-2026-83941 in Entra ID mit 9.9, und in Copilot Studio erlaubt CVE-2026-80098 eine Rechteausweitung mit einem Wert von 9.3. Für Unternehmen bleibt bei diesen vier Fehlern nichts zu tun, Microsoft kennzeichnet sie als bereits behoben. Anders bei CVE-2026-65669 im Microsoft SQL Server: Hier muss eine Nutzerin oder ein Nutzer präparierte Anweisungen an SQL Copilot im SQL Server Management Studio übergeben, damit ein Angreifer mit CVSS 9.6 Zugriff auf die Datenbank erhält.
Fazit
Der September 2026 verschiebt das Risiko in zwei Richtungen zugleich. Am Endpunkt heben die beiden bereits ausgenutzten Rechteausweitungen im Update Stack und im ALPC lokale Rechte bis auf SYSTEM an und taugen als zweite Stufe einer Angriffskette nach einem ersten Einbruch. Über das Netz bilden die zwanzig wurmfähigen Lücken das größere Flächenrisiko, während die beiden Höchstwerte in Azure AI Language und Azure Active Directory B2C zeigen, dass auch die KI-Dienste selbst zu den kritischsten Zielen zählen. Die Zero Day Initiative führt das Rekordvolumen auf KI-gestützte Schwachstellensuche zurück, hält aber fest, dass die Zahl der tatsächlich aktiven Angriffe auf dem bisherigen Niveau bleibt.