Microsoft hat am 8. September den bislang größten Patch Tuesday seiner Geschichte veröffentlicht: 973 Schwachstellen wurden gestopft – zwei davon werden nach Angaben des Konzerns bereits aktiv angegriffen.
Zwei Zero-Days zur Rechteausweitung
Beide aktiv ausgenutzten Lücken erlauben eine lokale Privilegienerhöhung. CVE-2026-85880 steckt in der Windows-Komponente Advanced Local Procedure Call (ALPC), CVE-2026-81963 im Windows Update Stack, wo eine fehlerhafte Verknüpfungsauflösung vor dem Dateizugriff missbraucht wird. Microsoft stuft beide nur als „Important“ ein, bestätigt aber die Ausnutzung in freier Wildbahn. Das ist ein deutliches Signal, dass Angreifer die Fehler nach einem Erstzugang bereits in ihren Angriffsketten einsetzen, um sich Systemrechte zu verschaffen.
Rekordumfang mit RCE-Risiken
Mit 973 Einträgen ist es der umfangreichste Patchday, den Microsoft je ausgeliefert hat. Neben den kritisch bewerteten Fehlern sollten Administratorinnen und Administratoren vor allem mehrere Remote-Code-Execution-Lücken im Windows DNS Server sowie in den Remote Desktop Services im Blick behalten, die sich unter Umständen aus der Ferne ausnutzen lassen.
- CVE-2026-85880: ALPC, Rechteausweitung, aktiv ausgenutzt
- CVE-2026-81963: Windows Update Stack, Rechteausweitung, aktiv ausgenutzt
- Windows DNS Server und Remote Desktop Services: mehrere RCE-Fixes
Microsoft empfiehlt, die Updates umgehend über Windows Update einzuspielen; für die beiden Zero-Days besteht dringender Handlungsbedarf. Wo ein sofortiges Update nicht möglich ist, sollten Betreiber betroffene Dienste absichern und Konten mit lokalen Administratorrechten besonders überwachen.
Quellen: Microsoft MSRC · Cyber Security News · ntcompatible
