Microsoft schließt zwei ausgenutzte Windows-Zero-Days

Microsofts Patch Tuesday vom 8. September 2026 hat zwei Windows-Lücken geschlossen, die Angreifer bereits ausnutzten, bevor es einen Patch gab. Wie groß das Paket ist, hängt davon ab, wer zählt: Tenable kommt auf 964 CVEs, BleepingComputer auf 966, CybersecurityNews auf 973 und SecurityWeek auf 974 - dort ist von einem Rekord die Rede. BleepingComputer legt die eigene Abgrenzung offen: In den 966 seien 204 früher im Monat veröffentlichte Lücken sowie die separat gelisteten Chromium-Edge-Fixes nicht enthalten. Die Updates betreffen Windows, Office, SharePoint und Exchange.

CVE-2026-85880 ist ein Heap-Pufferüberlauf in der Windows-Komponente Advanced Local Procedure Call (ALPC), von Microsoft mit 7,8 bewertet. Im Advisory heißt es, ein Angreifer, der Code in einem AppContainer mit niedrigen Rechten ausführen könne, sei damit in der Lage, lokal aus der Sandbox auszubrechen und seine Rechte auf dem betroffenen System auszuweiten; weitere Nutzerinteraktion sei nicht nötig, ein erfolgreicher Angriff ende bei SYSTEM-Rechten. Gemeldet wurde die Lücke laut Microsoft von Volexity gemeinsam mit den Proofpoint-Forschern Mark Kelly, David Galazin und Jeremy Hedges. Laut Tenable ist es die erste ALPC-Lücke in einem Patch Tuesday seit April 2023 und die zweite, die seit Januar 2023 als Zero-Day ausgenutzt wurde.

CVE-2026-81963, von Microsoft ebenfalls mit 7,8 bewertet, ist eine Link-Following-Schwachstelle im Windows Update Stack, über die ein lokales Konto SYSTEM-Rechte erlangt. Microsofts Advisory nennt als Entdecker Romain Deperne und das eigene Threat Intelligence Centre; eine Revision vom 11. September ergänzte Zhang WangJunJie von Hillstone Networks. Tenable zählt seit 2022 sieben Rechteausweitungs-Lücken im Update Stack; diese ist die erste, von der eine Ausnutzung bekannt ist. Wer die beiden Lücken angreift und wie verbreitet das geschieht, hat Microsoft nicht mitgeteilt; die CISA führt eine Nutzung durch Ransomware bei beiden als unbekannt.

Die US-Cybersicherheitsbehörde CISA nahm beide CVEs am 8. September, dem Tag der Patch-Veröffentlichung, in ihren Katalog bekannter ausgenutzter Schwachstellen auf - auf Grundlage der Binding Operational Directive 26-04. Zivile US-Bundesbehörden haben damit bis zum 22. September Zeit, die Updates einzuspielen oder die betroffenen Produkte außer Betrieb zu nehmen. Keine der beiden Lücken ist ein Einfallstor aus der Ferne: Ein Angreifer muss zuerst Code auf dem Rechner ausführen können. Damit taugen sie als Werkzeug der zweiten Stufe für jemanden, der bereits im Netz sitzt.

Für alle jenseits dieser Behördenfrist ist die schiere Größe des Pakets das eigentliche Problem. SecurityWeek zitiert Dustin Childs von der Zero Day Initiative, der 20 der behobenen Lücken als potenziell wurmfähig einstuft - Remotecodeausführung ohne Authentifizierung und ohne Zutun der Nutzer. Satnam Narang von Tenable sagte gegenüber CyberScoop, die KI-gestützte Schwachstellensuche erzeuge 2026 „größere Heuhaufen, finde aber nicht mehr Nadeln"; Unternehmen müssten herausfinden, welche Lücken sie tatsächlich betreffen und ob diese überhaupt erreichbar und ausnutzbar seien, und danach priorisieren. Offen bleibt, wer hinter den beiden Angriffskampagnen steckt, wie lange sie vor den Patches liefen und ob nun, da die Fixes öffentlich sind, eine der 20 wurmfähigen Lücken ausgenutzt wird. Der nächste feste Termin im Kalender ist der 22. September.