Microsoft hat am Dienstag im Rahmen seines monatlichen Patch Tuesday insgesamt 974 Sicherheitslücken in seinem Software-Portfolio geschlossen und damit einen neuen Rekordwert aufgestellt. Zwei der Schwachstellen wurden nach Angaben des Unternehmens bereits aktiv in freier Wildbahn ausgenutzt.

Betroffen sind praktisch alle großen Produktfamilien des Konzerns, von Windows über Office bis hin zu SQL Server und den Entwicklertools. Mehr als 110 der Lücken stuft Microsoft als "kritisch" ein. Rechteausweitung, Remotecodeausführung und die Offenlegung von Informationen machen zusammen fast 90 Prozent aller in diesem Monat behobenen Fehler aus.

Windows mit 723 Schwachstellen ganz vorn

Den größten Anteil an den Patches nimmt mit 723 Schwachstellen das Betriebssystem Windows selbst ein. Office und Office 2016 bringen es zusammen auf 111 behobene Lücken, SQL Server auf 62 und die Entwicklertools auf 22. Kleinere, aber nicht minder relevante Updates betreffen Azure, den Exchange Server, SharePoint Server und Skype for Business.

Rechnet man die von Microsoft zusätzlich veröffentlichten Fixes für 25 Schwachstellen in Fremdprodukten hinzu, kommt der Software-Riese im September insgesamt auf 999 geschlossene Lücken. Zum Vergleich: Im August waren es noch 457, im Juli 663, im Juni 220 und im Mai 161 Schwachstellen – der aktuelle Wert markiert damit einen deutlichen Ausreißer nach oben.

Zero-Day-Lücken bereits aktiv ausgenutzt

Besondere Aufmerksamkeit verdienen zwei Schwachstellen, die Microsoft als bereits aktiv ausgenutzt einstuft. CVE-2026-85880 betrifft einen heap-basierten Pufferüberlauf im Windows Advanced Local Procedure Call (ALPC) und erlaubt es Angreifern mit lokalem Zugriff, sich SYSTEM-Rechte zu verschaffen. Laut Microsoft reicht dafür Code-Ausführung in einem gering privilegierten AppContainer aus, eine zusätzliche Nutzerinteraktion ist nicht erforderlich.

Die zweite Lücke, CVE-2026-81963, steckt im Windows Update Stack und beruht auf einer fehlerhaften Auflösung von Verknüpfungen. Auch sie ermöglicht eine lokale Rechteausweitung bis auf SYSTEM-Ebene und wurde unter anderem von der Microsoft Threat Intelligence Center (MSTIC) sowie dem Sicherheitsforscher Romain Deperne gemeldet. Beide Schwachstellen haben es inzwischen in den Known-Exploited-Vulnerabilities-Katalog der US-Behörde CISA geschafft, US-Bundesbehörden müssen die Patches bis zum 22. September 2026 einspielen.

Neben den beiden Zero-Days listet Microsoft eine ganze Reihe weiterer kritischer Lücken auf, die aus Sicht von Sicherheitsforschern besondere Beachtung verdienen. Dazu zählen etwa eine Use-after-free-Schwachstelle in den Windows Remote Desktop Services (CVSS 9,8) sowie vergleichbare Fehler im DNS-Server, im DHCP-Server und im NFS-Treiber von Windows, die jeweils eine Remotecodeausführung ohne Authentifizierung ermöglichen. Auch SQL Server, SharePoint und Microsoft Authenticator sind mit teils hohen CVSS-Werten von bis zu 9,6 betroffen.