Rekord-Patchday: Microsoft schließt 974 Lücken, zwei Zero-Days aktiv genutzt
Veröffentlicht am: 09.09.2026 um 14:14 Uhr | Redaktion boerse-global.de
Microsoft hat im Rahmen seines jüngsten Patch-Dienstags eine Rekordzahl von 974 Schwachstellen (CVEs) behoben. Wie aus Berichten vom 9. September 2026 hervorgeht, stufte der Softwarekonzern dabei 110 bis 119 Sicherheitslücken als kritisch ein.
Unter den adressierten Fehlern befinden sich zwei aktiv ausgenutzte Zero-Day-Schwachstellen, die bereits in der Liste bekannter ausgenutzter Schwachstellen der US-Sicherheitsbehörde CISA geführt werden. Parallel dazu veröffentlichte Adobe ein dringendes Sicherheitsupdate für eine kritische Lücke in seinem E-Commerce-System Magento.
Microsoft adressiert weitreichende Sicherheitsrisiken
Die Gesamtzahl der am Patchday behandelten Schwachstellen beläuft sich inklusive Fremdprodukten auf 999, wobei 974 spezifische Microsoft-CVEs korrigiert wurden. Ein Großteil der Fehler betrifft das Betriebssystem Windows mit 723 Lücken, gefolgt von der Office-Suite mit 111 und dem SQL Server mit 62 Schwachstellen.
Nach Angaben von Fachmedien führen 438 der behobenen Fehler zu einer Ausweitung von Berechtigungen, während 258 das Potenzial für eine Remote-Code-Ausführung (RCE) bieten.
Besondere Aufmerksamkeit gilt den beiden Zero-Day-Lücken CVE-2026-85880 und CVE-2026-81963, die jeweils einen CVSS-Score von 7.8 aufweisen und Angreifern SYSTEM-Rechte ermöglichen.
Die Schwachstelle CVE-2026-85880 betrifft den Windows ALPC-Dienst und ist in Windows 10 sowie den Server-Versionen 2012 bis 2022 vorhanden. Die zweite aktiv genutzte Lücke, CVE-2026-81963, im Windows Update Stack betrifft Windows 11 sowie Windows Server 2025.
Angesichts der massiven Sicherheitslücken in aktuellen Betriebssystemen ist es für Nutzer entscheidend, typische Systemfehler und Update-Probleme schnellstmöglich selbst beheben zu können. Dieser kostenlose Report bietet Sofort-Hilfe bei Windows-11-Problemen, um Ihr System ohne teure IT-Techniker wieder sicher und stabil zu machen. Erste Hilfe für Windows 11: Gratis-Report jetzt herunterladen
Zusätzlich wurden 20 als „wormable“ eingestufte Bugs sowie kritische Schwachstellen in Exchange (CVE-2026-55007), RDP (CVE-2026-69525) und dem DNS-Dienst (CVE-2026-69730) geschlossen. Die letztgenannten Lücken in RDP und DNS erhielten mit einem CVSS-Score von 9.8 eine nahezu maximale Risikobewertung.
Notfall-Patch für Adobe Magento nach „StyleSmuggler“-Angriffen
Zeitgleich mit den Microsoft-Updates hat Adobe einen Notfall-Patch für eine schwerwiegende Sicherheitslücke in Magento und Adobe Commerce veröffentlicht. Die unter dem Namen „StyleSmuggler“ bekannte Schwachstelle (CVE-2026-75650) weist den höchstmöglichen CVSS-Score von 10.0 auf. Betroffen sind die Versionen 2.4.4 bis 2.4.9.
Angriffe auf diese Lücke wurden bereits seit dem 4. September 2026 beobachtet. Dabei nutzen Angreifer eine PHP-Code-Injektion über Stylesheets, um eine Rust-Backdoor sowie eine PHP-Webshell zu installieren.
Laut Sicherheitsanalysen von Sansec, über die am 8. und 9. September berichtet wurde, seien über 100.000 Online-Shops von der Kampagne betroffen. Die erste Kompromittierung eines Systems erfolgte bereits 50 Minuten nach dem ersten Bekanntwerden der Lücke.
Der von Adobe bereitgestellte Hotfix VULN-39341 erfordert laut Experten eine anschließende Schlüsselrotation, um die Sicherheit der Systeme wiederherzustellen. Insgesamt behob Adobe im Rahmen seiner aktuellen Sicherheitsaktualisierungen 172 Schwachstellen.
Wer sich mit der Absicherung von IT-Infrastrukturen befasst, muss heute insbesondere die Zunahme von Remote-Angriffen und Zero-Day-Lücken im Blick behalten. In diesem kostenlosen Experten-Ratgeber erfahren Sie, wie Sie häufige Update-Fehler und kritische Systemprobleme bei Windows 11 eigenständig lösen. Kostenlosen Windows-11-Problemlöser sichern
Behörden setzen kurze Fristen für Sicherheitsupdates
Aufgrund der aktiven Ausnutzung der Schwachstellen hat die US-Behörde CISA verbindliche Fristen für Regierungsbehörden festgelegt. Für den Adobe-Magento-Zero-Day CVE-2026-75650 wurde eine Behebung bis zum 11. September 2026 angeordnet. Für die beiden aktiv genutzten Microsoft-Lücken CVE-2026-85880 und CVE-2026-81963 haben die Behörden bis zum 22. September 2026 Zeit, die entsprechenden Patches zu implementieren.
Sicherheitsexperten raten Unternehmen und Administratoren angesichts der hohen Anzahl kritischer Lücken und der laufenden Angriffswellen zu einer zeitnahen Prüfung und Einspielung der bereitgestellten Sicherheitsupdates. Insbesondere bei den E-Commerce-Plattformen auf Basis von Magento sei Eile geboten, da auch vollständig gepatchte Shops vor Veröffentlichung des Notfall-Fixes als angreifbar galten.
