Aktuell

973 Sicherheitslücken, 2 Zero-Days: Das größte Patch Tuesday aller Zeiten

Innerhalb einer einzigen Woche haben Microsoft und Google gezeigt, wie groß die Angriffsfläche moderner IT wirklich ist — und wie schnell sie sich schließen lässt, wenn jemand konsequent patcht.

11. September 2026

Am 8. September 2026 hat Microsoft das größte Patch Tuesday der Firmengeschichte veröffentlicht: 973 Sicherheitslücken auf einen Schlag geschlossen — 57% mehr als der bisherige Rekordmonat Juli 2026 mit 621 CVEs. cybersecuritynews.com berichtet von rund 105 als „Critical“ eingestuften Lücken, davon 81 mit dem Potenzial zur Remote Code Execution — also Code-Ausführung durch Angreifer aus der Ferne, ganz ohne physischen Zugriff auf das Gerät.

Fast zeitgleich musste Google innerhalb weniger Tage gleich zwei aktiv ausgenutzte Zero-Day-Lücken im Chrome-Browser schließen. Zwei völlig unterschiedliche Hersteller, zwei Rekord-Updates, dieselbe Woche. Für uns als IT-Dienstleister ist das kein Grund zur Panik — sondern die beste verfügbare Bestätigung, warum wir bei jedem Kunden auf lückenloses, automatisiertes Patch-Management bestehen.

Microsoft: 973 Lücken, zwei davon bereits im Angriff

Von den 973 geschlossenen Schwachstellen entfallen laut BleepingComputer 723 auf Windows selbst, 111 auf Office, 62 auf SQL Server, 22 auf Entwickler-Tools, 16 auf SharePoint Server und 9 auf Exchange Server. Zwei Lücken waren zum Veröffentlichungszeitpunkt bereits aktiv ausgenutzt — also keine theoretische Gefahr, sondern real angegriffene Systeme:

CVE-2026-81963

Windows Update Stack — Elevation of Privilege

Fehlerhafte Link-Auflösung vor Dateizugriff erlaubt Angreifern, sich lokal SYSTEM-Rechte zu verschaffen — der höchste Berechtigungsgrad unter Windows.

CVE-2026-85880

Windows ALPC — Heap Buffer Overflow

Ein Pufferüberlauf im Windows-internen ALPC-Mechanismus (Advanced Local Procedure Call), der ebenfalls zur Privilegien-Eskalation missbraucht wird.

Beide Lücken erlauben für sich genommen keinen Erstzugriff von außen — aber genau das macht sie so gefährlich. Ein Angreifer, der über eine Phishing-Mail oder eine andere Schwachstelle bereits einen einfachen Benutzerzugang erlangt hat, kann sich mit solchen Privilege-Escalation-Lücken innerhalb von Sekunden zum Administrator hocharbeiten. Genau diese Kombination — Erstzugriff plus Rechteausweitung — steht hinter den meisten folgenschweren Ransomware-Fällen.

Chrome: der siebte Zero-Day des Jahres

Google mag mit Patches meist unauffälliger vorgehen als Microsoft, war im September 2026 aber nicht weniger betroffen. Am 4. September wurde CVE-2026-85046 bekannt — eine Type-Confusion-Schwachstelle in der V8-JavaScript-Engine mit einem CVSS-Score von 8.8, die es Angreifern erlaubt, über eine präparierte Webseite beliebigen Code innerhalb der Chrome-Sandbox auszuführen. Die US-Cybersicherheitsbehörde CISA nahm die Lücke noch am selben Tag in ihren Known-Exploited-Vulnerabilities-Katalog auf und setzte US-Bundesbehörden eine Frist bis zum 18. September zur Behebung.

Nur fünf Tage später, am 9. September, folgte bereits die nächste aktiv ausgenutzte Lücke: CVE-2026-87491, ein Out-of-Bounds-Write-Fehler, ebenfalls in V8. Damit war es bereits der siebte aktiv ausgenutzte Chrome-Zero-Day des Jahres 2026. Insgesamt wurden mit diesem Update 230 Sicherheitslücken in Chrome geschlossen — behoben in Version 153.0.8010.36/.37.

Was das für Ihre IT bedeutet

Ein Windows-Server, der noch mit dem Patch-Stand von August läuft, oder ein Chrome-Browser, der drei Wochen lang keine Verbindung zum Internet hatte, um sich zu aktualisieren — beide sind ab sofort verwundbar gegenüber bekannten, öffentlich dokumentierten Angriffen. Der Unterschied zwischen „theoretisches Risiko“ und „aktiv ausgenutzt“ ist bei diesen Lücken bereits aufgehoben.

Warum das unser Kernargument für Managed Services ist

973 Windows- und Office-Lücken plus 230 Chrome-Lücken in derselben Woche — kein einzelner Mitarbeiter, keine kleine IT-Abteilung kann das im laufenden Betrieb manuell im Blick behalten, priorisieren und zeitnah ausrollen. Genau das ist der Kern von Managed Services: automatisiertes, zentral gesteuertes Patch-Management über alle Endgeräte und Server hinweg, mit Priorisierung nach tatsächlicher Kritikalität — nicht erst, wenn ein Anwender zufällig auf „Update jetzt installieren“ klickt.

Zero-Days wie CVE-2026-85046 oder CVE-2026-87491 lassen sich nicht verhindern — niemand kann eine Lücke patchen, bevor sie bekannt ist. Was sich aber sehr wohl verhindern lässt, ist das Zeitfenster zwischen Patch-Veröffentlichung und Patch-Installation im eigenen Unternehmen. Genau in diesem Fenster finden die meisten erfolgreichen Angriffe statt — denn sobald ein Patch veröffentlicht ist, wissen auch Angreifer exakt, welche Lücke sie ausnutzen können.

Quellen & weiterführende Links

Recherche-Stand: 11. September 2026 — Zahlen können sich durch Nachmeldungen von Herstellerseite leicht ändern.