Microsoft Patch Tuesday, September 2026: Zwei ausgenutzte Windows-Schwachstellen stechen unter 938 Korrekturen hervor

Das Release im Überblick

Die Microsoft-Veröffentlichung zum Patch Tuesday im September 2026 umfasst 938 CVEs, die für unsere Leserinnen und Leser relevant sind. Die Schweregrade verteilen sich wie folgt: 41 kritisch, 659 hoch, 236 mittel und 2 niedrig. Zwei Schwachstellen sind bereits im CISA-Katalog der bekannten ausgenutzten Schwachstellen (Known Exploited Vulnerabilities, KEV) gelistet und werden als ausgenutzt eingestuft: CVE-2026-85880, ein heapbasierter Pufferüberlauf in Windows Advanced Local Procedure Call, und CVE-2026-81963, eine unsachgemäße Linkauflösung im Windows Update Stack. CISA hat für beide eine Frist bis zum 22. September 2026 festgelegt.

Darüber hinaus enthält die Veröffentlichung eine große Zahl als kritisch eingestufter Schwachstellen für Remotecodeausführung, unter anderem in Skype for Business Server, SQL Server und mehreren Windows-Komponenten, sowie eine als hoch eingestufte Schwachstelle für Remotecodeausführung in Outlook. Die übrigen Einträge betreffen Windows, Microsoft 365 Apps, Exchange Server, SharePoint Server, Edge und weitere Produkte.

Was am meisten zählt

Zuerst sind zwei Windows-Schwachstellen zur Rechteausweitung zu beachten. CVE-2026-85880 ist ein heapbasierter Pufferüberlauf in Windows ALPC, über den ein autorisierter Angreifer lokal Rechte ausweiten kann. CVE-2026-81963 ist eine unsachgemäße Linkauflösung im Windows Update Stack mit demselben Ergebnis: einer lokalen Rechteausweitung. Beide sind im CISA-KEV-Katalog gelistet und werden von Microsoft als ausgenutzt eingestuft; die SSVC-Einstufung der CISA weist auf aktive Ausnutzung hin. Die CISA-Frist war der 22. September 2026. CVE-2026-85880 betrifft Windows 10 sowie Versionen von Windows Server; CVE-2026-81963 betrifft Windows 11 ab Version 23H2 sowie Windows Server 2025.

Microsoft Office Outlook weist CVE-2026-70125 auf, eine über das Netzwerk erreichbare Schwachstelle für Remotecodeausführung mit der Bewertung 8,8 (hoch). Sie erfordert Benutzerinteraktion, ist nicht im KEV-Katalog gelistet und nicht als ausgenutzt markiert. Zu den betroffenen Produkten zählen Microsoft 365 Apps for Enterprise, Office LTSC 2021 und Office LTSC 2024.

Skype for Business Server weist CVE-2026-66302 auf, eine als kritisch eingestufte Schwachstelle für Remotecodeausführung mit CVSS 9,8, die durch externe Kontrolle eines Dateinamens oder -pfads verursacht wird. Sie ist über ein Netzwerk ohne Anmeldedaten und ohne Benutzerinteraktion erreichbar, wird derzeit jedoch nicht ausgenutzt. Betroffen sind unter anderem Skype for Business Server 2015 CU13, 2019 CU8 und Subscription Edition CU1.

SQL Server weist zwei als kritisch eingestufte Schwachstellen für Remotecodeausführung durch heapbasierte Pufferüberläufe mit CVSS 9,8 auf. CVE-2026-67631 betrifft SQL Server 2017, 2019, 2022 und 2025 über die CU- und GDR-Kanäle hinweg. CVE-2026-67643 betrifft SQL Server 2022 und 2025. Keine der beiden ist als ausgenutzt gelistet.

Auch Windows-Komponenten enthalten als kritisch eingestufte, über das Netzwerk erreichbare Schwachstellen. CVE-2026-68839 ist ein heapbasierter Pufferüberlauf im USB Mass Storage Class Driver mit CVSS 9,8. CVE-2026-69276 ist ein Integer-Unterlauf in der UxTheme-Bibliothek mit CVSS 9,8. Keine der beiden ist als ausgenutzt gelistet.

In dieser Reihenfolge patchen

1. Spielen Sie zuerst die Korrekturen für die ausgenutzten Windows-Schwachstellen ein: CVE-2026-85880 und CVE-2026-81963. Für beide gilt eine CISA-KEV-Frist bis zum 22. September 2026; Microsoft kennzeichnet beide als ausgenutzt, und die SSVC-Einstufung der CISA weist aktive Ausnutzung aus. Installieren Sie für CVE-2026-81963 Windows 11 Build 10.0.22631.7582 (23H2), 10.0.26100.9445 (24H2), 10.0.26200.9445 (25H2), 10.0.28000.2954 (26H1) oder Windows Server 2025 10.0.26100.33438. Verwenden Sie für CVE-2026-85880 das entsprechende Windows-Wartungsupdate; zu den korrigierten Builds zählen Windows 10 22H2 10.0.19045.7725 und Windows Server 2022 10.0.20348.5622.
2. Spielen Sie als Nächstes die Sicherheitsupdates für Skype for Business Server ein: CVE-2026-66302 ist eine als kritisch eingestufte Schwachstelle für Remotecodeausführung über das Netzwerk mit CVSS 9,8, ohne Authentifizierung und ohne Benutzerinteraktion. Die korrigierten Builds sind 6.0.9319.885 (2015 CU13), 7.0.2046.569 (2019 CU8) und 7.0.2046.879 (Subscription Edition CU1).
3. Spielen Sie die Sicherheitsupdates für SQL Server ein. CVE-2026-67631 und CVE-2026-67643 sind beide als kritisch eingestufte Schwachstellen für Remotecodeausführung mit CVSS 9,8. Zu den korrigierten Builds für CVE-2026-67631 zählen SQL Server 2017 CU 31 14.0.3550.4 oder GDR 14.0.2130.4; 2019 CU 32 15.0.4490.9 oder GDR 15.0.2190.7; 2022 CU 26 16.0.4275.2 oder GDR 16.0.1200.5; 2025 CU8 17.0.4085.5 oder GDR 17.0.1135.8. Für CVE-2026-67643 sind die korrigierten Builds SQL Server 2022 CU 26 16.0.4275.2 oder GDR 16.0.1200.5 sowie SQL Server 2025 CU8 17.0.4085.5 oder GDR 17.0.1135.8.
4. Spielen Sie die Korrekturen für Windows-Komponenten ein: CVE-2026-68839 und CVE-2026-69276 sind als kritisch eingestufte Schwachstellen für Remotecodeausführung über das Netzwerk mit CVSS 9,8 im USB Mass Storage Class Driver bzw. in der UxTheme-Bibliothek. Verwenden Sie das zu Ihrem Build passende Windows-Wartungsupdate, etwa Windows 11 24H2 10.0.26100.9445 oder Windows Server 2025 10.0.26100.33438.
5. Spielen Sie die Sicherheitsupdates für Microsoft Office Outlook ein: CVE-2026-70125 ist eine als hoch eingestufte Schwachstelle für Remotecodeausführung mit CVSS 8,8, die eine Benutzerinteraktion erfordert. Installieren Sie das Update von der Seite „Office Security Releases“ für Microsoft 365 Apps, Office LTSC 2021 oder Office LTSC 2024.
6. Arbeiten Sie anschließend die verbleibenden September-Updates für die übrigen Teile dieser Veröffentlichung ab und priorisieren Sie dabei aus dem Internet erreichbare Systeme sowie Systeme mit hohem Schweregrad.

Über den Patch hinaus

Ein Updatepaket dieser Größenordnung ist beherrschbar, wenn Sie die beiden ausgenutzten Windows-Schwachstellen von der größeren Menge der kritischen, über das Netzwerk erreichbaren Schwachstellen trennen. Mit Managed Detection and Response (MDR) unterstützen wir Sie dabei, ausgenutzte Aktivitäten in Windows ALPC und im Windows Update Stack zu erkennen und darauf zu reagieren. Mit Virtual CISO Services (vCISO) unterstützen wir Sie dabei, exponierte Dienste zu finden und zu schließen, auf die die Schwachstellen in Skype for Business und SQL Server angewiesen sind.