Microsofts September-Patch-Tuesday schließt 973 Schwachstellen und zwei aktiv ausgenutzte Windows-Zero-Days

Microsoft hat am Dienstag sein Patch Tuesday-Update für September 2026 veröffentlicht, das 973 Sicherheitslücken in seinen Produkten schließt — darunter zwei Windows-Zero-Days, die bereits aktiv in echten Angriffen ausgenutzt werden.

Zwei Zero-Days unter aktivem Angriff

Der erste Zero-Day, CVE-2026-85880, ist ein Heap-Buffer-Overflow im Windows Advanced Local Procedure Call (ALPC)-Dienst. Dessen Ausnutzung verschafft einem lokalen Angreifer System-Rechte — die höchste Zugriffsebene unter Windows. CISA nahm die Schwachstelle noch am selben Tag in ihr KEV-Verzeichnis auf.

Der zweite, CVE-2026-81963, zielt auf den Windows Update Stack über eine fehlerhafte Link-Auflösung. Angreifer mit vorherigem Zugang können ihn nutzen, um Rechte zu eskalieren und die Kontrolle über das System auszubauen.

Umfang des Updates

September 2026 gehört zu den umfangreichsten Patch-Tuesdays der Geschichte: 438 Privilege-Escalation-Schwachstellen und 258 Remote-Code-Execution-Lücken. Drei Schwachstellen wurden als Critical eingestuft und betreffen Remote Desktop Client, Message Queuing und den Druckspooler.

Was jetzt zu tun ist

Sicherheitsteams sollten CVE-2026-85880 und CVE-2026-81963 sofort priorisieren: Beide sind aktiv ausgenutzt bestätigt und Privilege-Escalation-Zero-Days werden häufig als Bestandteil mehrstufiger Angriffe eingesetzt.