Microsoft behebt 973 CVEs im September und gibt zwei Zero-Days zu, die aktiv im Windows ausgenutzt werden
Der größte Patch Tuesday in der Geschichte von Microsoft bringt bereits ausgenutzte Schwachstellen in Windows ALPC und im Windows Update Stack mit sich, die beide lokale Privilegien bis SYSTEM erhöhen.
Microsoft hat am Patch Tuesday, dem 8. September, die größte Menge an Korrekturen in seiner Geschichte veröffentlicht: 973 CVEs in einem einzigen Zyklus, zwei davon mit aktiv bestätigter Ausnutzung durch das Unternehmen selbst. Die beiden ausgenutzten Schwachstellen betreffen den Windows Advanced Local Procedure Call (ALPC) und den Windows Update Stack, und beide erhöhen lokale Privilegien bis SYSTEM.
Die CVE-2026-85880 im ALPC ist ein heap-basierter Pufferüberlauf mit CVSS 7.8. Der Angriff erfolgt durch bereits ausgeführten Code innerhalb eines AppContainers mit niedrigen Rechten und ermöglicht es, den Sandbox zu umgehen, um die Kontrolle über die Maschine zu übernehmen. Volexity und Proofpoint wurden für die Meldung der Schwachstelle an Microsoft anerkannt, was darauf hindeutet, dass die Ausnutzung bereits vor der Veröffentlichung im Feld beobachtet wurde. Es ist der zweite Zero-Day im ALPC innerhalb von vier Jahren.
Die CVE-2026-81963 im Windows Update Stack erhält ebenfalls CVSS 7.8 und resultiert aus einer unsachgemäßen Linkauflösung: Ein Angreifer kann den Update-Dienst dazu bringen, einem schädlichen Link zu folgen und eine Systemkomponente durch eine kontrollierte Binärdatei zu überschreiben. Microsoft erkennt Romain Deperne, einen Offensive Researcher von Airbus Helicopters, und das Microsoft Threat Intelligence Center für die Entdeckung an. Es ist die erste EoP im Komponent, die seit 2022 im Feld ausgenutzt wird, und die Korrektur erreicht alle unterstützten Versionen von Windows.
Unbekannte Dimension und erweiterte Angriffsfläche
Im Paket klassifiziert Microsoft 113 CVEs als Kritisch und 860 als Wichtig. Office konzentriert sich auf drei kritische RCEs: CVE-2026-81959 und CVE-2026-81953 im Excel sowie CVE-2026-81952 im Word. Kerberos, Key Distribution Center und Netlogon, Säulen der Windows-Korporationsauthentifizierung, sind ebenfalls unter den kritischen Remote-Fehlern aufgeführt. Die Angriffsfläche umfasst SQL Server, Exchange, SharePoint, Azure und Entwicklungstools, was das Problem in die Rechenzentren von Unternehmen bringt, die noch lokale Server betreiben.
Die Größe des Zyklus hat praktische Auswirkungen: mehr Patches, mehr Neustarts, mehr Wartungsfenster, mehr Möglichkeiten für den Angreifer, der noch nicht gepatcht hat. Das Team von Talos beobachtet, dass das ALPC oft mit einer anderen Remote-Execution-Schwachstelle in realen Kill Chains verknüpft ist, was die Empfehlung verstärkt, die beiden ausgenutzten EoPs als Priorität Eins zu behandeln, sogar vor den kritischen RCEs.
Banken, Regierung und Brasilien im Fadenkreuz
Europäische und nordamerikanische Banken, die Windows Server und Exchange in den Identitätsschichten betreiben, sind dem gleichen Muster der stillen Eskalation ausgesetzt: Der Angreifer dringt durch Phishing ein, gelangt in einen eingeschränkten Kontext und nutzt das ALPC, um SYSTEM zu erlangen. In den USA verwalten JPMorgan und Bank of America Flotten von zehntausenden Windows-Endpunkten unter ausgelagertem Management. In Deutschland verlassen sich die Deutsche Bank und Bundesbehörden weiterhin auf lokale Windows-Infrastruktur zur internen Authentifizierung und sind der gleichen Exposition unter der neuen NIS2-Richtlinie ausgesetzt.
Brasilien tritt durch die gleiche Tür ein: Die installierte Windows-Basis in Banken, Gerichten und öffentlichen Behörden ist groß und häufig in Patch-Zyklen verzögert. Das CTIR Gov und Serpro müssen die beiden Korrekturen in kurzen Zeitfenstern verbreiten, wenn sie verhindern wollen, dass die von Volexity und Proofpoint beobachtete Ausnutzung staatliche Vermögenswerte erreicht. Itaú und Bradesco tragen die gleiche Windows-Identitätsfläche in den Geschäftsdiensten, die Investment und Private Banking unterstützen.
Ein weniger kommentiertes Detail des Zyklus ist die Herkunft der Hälfte der Entdeckungen. Airbus Helicopters erscheint als Referenz für Bedrohungsinformationen über das Windows Update. Ein europäischer Luft- und Raumfahrtzulieferer, der offensive Forschung zu einem kritischen Microsoft-Subsystem betreibt, ist kein Zufall. Es ist das neue Design der Unternehmensverteidigung, bei dem große Benutzer die Codebasis der Anbieter als Teil ihrer eigenen Risikofläche behandeln, anstatt auf die Lieferkette des Anbieters zu warten.