Microsoft Security Update Summary (8. September 2026)

Microsoft hat am 8. September2026 Sicherheitsupdates für Windows-Clients und -Server, für Office – sowie für weitere Produkte  – veröffentlicht. Die Sicherheitsupdates beseitigen 974 Schwachstellen, 104 kritisch, und 860 als wichtig, drunter zwei 0-days. Nachfolgend findet sich ein kompakter Überblick über diese Updates, die zum Patchday freigegeben wurden.

Hinweise zu den Updates

Eine Liste der Updates finden Sie auf dieser Microsoft-Seite. Details zu den Update-Paketen für Windows, Office etc. sind in separaten Blogbeiträgen verfügbar.

Windows 10/11, Windows Server

Alle Windows 10/11-Updates (sowie die Updates der Server-Pendants) sind kumulativ. Das monatliche Patchday-Update enthält alle Sicherheitsfixes für diese Windows-Versionen – sowie alle nicht sicherheitsbezogenen Fixes bis zum Patchday. Zusätzlich zu den Sicherheitspatches für die Schwachstellen enthalten die Updates auch Fixes zur Behebung von Fehlern oder Neuerungen.

Im Oktober 2025 ist Windows 10 22H2 aus dem Support gefallen. Sicherheitsupdates gibt es  nur noch für Nutzer einer ESU-Lizenz.

Windows Server 2012 R2

Für Windows Server 2012 /R2 ist eine ESU-Lizenz zum Bezug weiterer Sicherheitsupdates erforderlich (Windows Server 2012/R2 bekommt Extended Sicherheitsupdates (ESU) bis Oktober 2026).

Gefixte Schwachstellen

Bei Tenable gibt es diesen Blog-Beitrag mit einer Übersicht der gefixten Schwachstellen. Hier einige der kritischen Schwachstellen, die beseitigt wurden:

• CVE-2026-81963 : Windows Update Stack Elevation of Privilege-Schwachstelle, CVSSv3 Score 7.8, Important; Eine EoP-Sicherheitslücke, die den Windows Update Stack betrifft und eine Rechteausweitung ermöglicht. Laut Microsoft wurde diese Sicherheitslücke in der Praxis als Zero-Day-Exploit ausgenutzt. Der Windows Update Stack enthält eine Sicherheitslücke im Zusammenhang mit Links. Ein Angreifer könnte diese Sicherheitslücke ausnutzen, um sich SYSTEM-Rechte zu verschaffen.
• CVE-2026-85880: Windows Advanced Local Procedure Call (ALPC) Elevation of Privilege-Schwachstelle, CVSSv3 Score 7.8, Important. Eine EoP-Sicherheitslücke, die den Windows Advanced Local Procedure Call (ALPC) betrifft. Sie erhielt einen CVSSv3-Wert von 7,8 und wird als „wichtig" eingestuft. Laut Microsoft wurde diese Sicherheitslücke bereits in der Praxis ausgenutzt, wodurch sie zu einer von zwei Zero-Day-Schwachstellen zählt, die im Rahmen des "Patch Tuesday" im September behoben wurden. Eine erfolgreiche Ausnutzung würde es einem Angreifer ermöglichen, Berechtigungen auf SYSTEM-Ebene zu erlangen.
• CVE-2026-69380: Microsoft Exchange Server Elevation of Privilege-Schwachstelle, CVSSv3 Score 8.1, Important. Es handelt sich um eine Sicherheitslücke aufgrund fehlender Autorisierung in Microsoft Exchange Server. Ein authentifizierter Angreifer, der über ein Benutzerkonto mit geringen Berechtigungen Zugriff auf ein Postfach hat, könnte diese Sicherheitslücke ausnutzen, um Zugriff auf andere Postfächer zu erlangen. Eine erfolgreiche Ausnutzung würde es dem Angreifer ermöglichen, E-Mails als andere Exchange-Benutzer zu senden und zu empfangen sowie auf Anhänge zuzugreifen. Trotz des hohen CVSS-Werts wird diese Sicherheitslücke gemäß dem Microsoft Exploitability Index als "Ausnutzung eher unwahrscheinlich" eingestuft.
• CVE-2026-69525: Remote Desktop Services Remote Code Execution-Schwachstelle, CVSSv3 Score 9.8, important; Eine erfolgreiche Ausnutzung dieser Schwachstelle würde es einem Angreifer ermöglichen, durch Ausnutzung einer "Use-after-free"-Schwachstelle beliebigen Code auszuführen. Microsoft stuft diese Schwachstelle als "Ausnutzung eher wahrscheinlich" ein. Zusätzlich wurden im September 2026 auch drei RCE-Schwachstellen (CVE-2026-69514, CVE-2026-69539, CVE-2026-69599); alle CVSSv3 Score 7.5, Important, in den Remotedesktopdiensten behoben. Obwohl jede einzelne als "wichtig" eingestuft wurde, ist eine Ausnutzung unwahrscheinlich.
• CVE-2026-69730: Windows DNS Server Remote Code Execution-Schwachstelle, CVSSv3 Score 9.8, Critical; Ein nicht authentifizierter Angreifer könnte Remote ein speziell gestaltetes Paket senden, um eine "Use-after-free"-Sicherheitslücke im Windows-DNS auszunutzen und so die Remote Code-Ausführung Ferne zu erreichen. Microsoft stuft diese Sicherheitslücke als "Ausnutzung eher wahrscheinlich" ein. Im September 2026 wurden acht weitere RCEs im Windows-DNS-Server behoben (siehe).
• CVE-2026-69676: Windows Kerberos Remote Code Execution-Schwachstelle, CVSSv3 Score 8.8, Critical; Ein Angreifer mit geringfügigen Zugriffsrechten könnte diese Sicherheitslücke, die eine Umgehung der Authentifizierung ermöglicht, mithilfe von "Capture-Replay" gegen Windows Kerberos ausnutzen, um beliebigen Code auszuführen. Microsoft stuft diese Sicherheitslücke als "Ausnutzung eher wahrscheinlich" ein.

Eine Liste aller aufgedeckten CVEs finden Sie auf dieser Microsoft-Seite, Auszüge sind bei Tenable abrufbar. Die Zero-Day-Initiative (ZDI) hat diesen Beitrag zu den geschlossenen Schwachstellen veröffentlicht. Talos hat noch keinen Artikel Hinweisen zu weiteren Schwachstellen veröffentlicht.

Ähnliche Artikel:
Microsoft Security Update Summary (8. September 2026)
Patchday: Windows 10/11 Updates (8. September 2026)
Patchday: Windows Server-Updates (8. September 2026)
Patchday: Microsoft Office Updates (8. September 2026)

Exchange Server: Sicherheitsupdates (8. September 2026)