Microsofts September-Update schließt zwei Windows-Lücken, die bereits angegriffen werden
Beide Zero-Days verschaffen Angreifern volle SYSTEM-Rechte, und beide wurden ausgenutzt, bevor Microsoft einen Patch bereit hatte. Jetzt aktualisieren.
Meridians Wirtschafts-Redaktion
Published 9. September 2026 · Updated 9. September 2026 · 4 min read
SoftwareThe short answer
- Microsofts Patchday vom 8. September 2026 schließt zwei Zero-Day-Schwachstellen, die Angreifer bereits ausnutzten, bevor es einen Patch gab.
- CVE-2026-81963 ist eine Lücke im Windows Update Stack, über die ein lokaler Angreifer SYSTEM-Rechte erlangt; CVE-2026-85880 ist eine Lücke in Windows ALPC, über die Code aus einer Sandbox mit geringen Rechten ausbrechen kann.
- Das Update behebt insgesamt rund 970 Schwachstellen, davon gut 100 als kritisch eingestuft — die genaue Zahl weicht je nach Quelle leicht ab.
- Microsoft führt die hohe Zahl zum Teil auf ein neues KI-gestütztes internes System zum Aufspüren von Schwachstellen zurück.
Microsofts Sicherheitsupdate für September 2026, veröffentlicht am 8. September, schließt zwei Schwachstellen, die Angreifer bereits nutzten, bevor es einen Patch gab. Beide erlauben es einem Angreifer, der bereits einen Fuß auf einem Windows-Rechner hat, die vollständige Kontrolle darüber zu übernehmen. Wenn Windows Update bei Ihnen nicht automatisch installiert, holen Sie das Update heute von Hand.
Die beiden Zero-Days
- CVE-2026-81963 — eine Lücke im Windows Update Stack, verursacht durch fehlerhafte Auflösung von Verknüpfungen vor dem Zugriff auf eine Datei. Ein lokaler Angreifer erlangt darüber SYSTEM-Rechte, die höchste Zugriffsstufe auf einem Windows-Rechner. Microsoft nennt das eigene Threat Intelligence Center und den Forscher Romain Deperne als Entdecker.
- CVE-2026-85880 — ein Heap-basierter Pufferüberlauf im Windows-Mechanismus Advanced Local Procedure Call (ALPC). Nach dem Wortlaut des Advisorys kann ein Angreifer, der bereits Code in einer AppContainer-Sandbox mit geringen Rechten ausführen kann, über die Lücke aus dieser Sandbox ausbrechen und höhere Rechte erlangen. Als Entdecker werden Forscher von Volexity und Proofpoint genannt.
Ein Update mit ungewöhnlich vielen Schwachstellen
Die beiden Medien, die den Patchday im Detail verfolgen, zählen dieses Update unterschiedlich: SecurityWeek kommt auf 974 behobene Schwachstellen, BleepingComputer auf 966 (zuzüglich 204 weiterer, die Microsoft bereits früher im September außerhalb des üblichen Monatszyklus geschlossen hatte). BleepingComputer stuft 105 der Lücken als kritisch ein — 81 erlauben das Ausführen von Code aus der Ferne, 20 eine Rechteausweitung, zwei den Abfluss von Informationen und eine das Umgehen einer Sicherheitsfunktion — und markiert 20 als „wurmfähig“: Sie könnten sich im Prinzip von Rechner zu Rechner verbreiten, ohne dass jemand klickt. Microsoft sagte BleepingComputer, die ungewöhnlich hohe Zahl gehe zum Teil auf ein neues KI-gestütztes internes System zum Aufspüren von Schwachstellen zurück. Satnam Narang von Tenable ordnete das gegenüber SecurityWeek skeptischer ein: Die KI-gestützte Suche finde einen größeren Heuhaufen an Schwachstellen, nicht zwangsläufig mehr für Angreifer relevante Nadeln darin.
Was jetzt zu tun ist
Windows installiert das September-Update automatisch, sofern automatische Updates aktiviert sind. Von Hand prüfen Sie das unter Einstellungen > Windows Update > Nach Updates suchen. Da einer der beiden Zero-Days den Ausbruch aus einer Sandbox ermöglicht, sollten Sicherheitsteams, die auf AppContainer aufsetzende Werkzeuge betreiben, das Update dieses Monats als dringlich behandeln und nicht als Routine.
Sources
Every factual claim above is traceable to these documents. Check them — that is why they are here.
About this byline
Meridians Wirtschafts-Redaktion is an editorial desk at Meridians, not an individual. A desk byline means the article was produced and fact-checked to that desk's published standards. Read our editorial standards and corrections policy.
Anzeige
Paid placement · not editorial
CISA setzt Frist noch in derselben Woche für vier aktiv ausgenutzte Sicherheitslücken – eine erreicht die Höchstwertung 10
4 Min. Lesezeit · 13. September 2026
Das BSI meldet eine kompromittierte Behörde — und zwei Lücken, die längst ausgenutzt werden
4 Min. Lesezeit · 6. September 2026
Google bestätigt aktive Angriffe über eine Chrome-Lücke. Jetzt aktualisieren – und danach jeden Chromium-Browser prüfen, den Sie nutzen
3 Min. Lesezeit · 6. September 2026
The Meridians Brief
One considered email a week
What changed, what it costs you, and what to do about it — from the Meridians desks. No sponsored picks disguised as recommendations.
Sign-up opens with our launch issue. Nothing is sent or stored yet.