Microsoft schliesst 975 Sicherheitslücken, zwei bereits aktiv ausgenutzt

Zwei Lücken bereits im Einsatz

Microsoft hat am 8. September 2026 im Rahmen des monatlichen Patch Tuesday Updates für 975 eigene Schwachstellen veröffentlicht, dazu kommen laut dem Security Update Guide 25 erneut publizierte Lücken aus Drittprodukten. Zwei der Schwachstellen sind nach Angaben von Microsoft zum Zeitpunkt der Veröffentlichung bereits aktiv ausgenutzt worden ("Exploitation Detected"): CVE-2026-81963 im Windows Update Stack und CVE-2026-85880 in der Windows-Komponente Advanced Local Procedure Call (ALPC). Die Einstufung bedeutet konkret, dass ein Angreifer bereits lokalen Zugriff auf ein System braucht, etwa über ein kompromittiertes Benutzerkonto, ein Phishing-Mail mit Schadcode oder eine andere bereits erfolgte Erstinfektion. Von dort aus erlauben beide Lücken eine Ausweitung der Rechte bis auf Systemebene. Fürs Risiko heisst das: Die beiden CVEs sind kein Einfallstor von aussen, aber ein wirksamer zweiter Schritt in einer Angriffskette, die mit einem anderen Mittel beginnt. Weitere, öffentlich bekannte, aber nicht aktiv ausgenutzte Zero-Day-Lücken führt der Security Update Guide für diesen Monat nicht auf. Zusätzlich hat Microsoft ausserhalb des regulären Zyklus ein Update für CVE-2026-85921 im Windows Secure Kernel Mode als Out-of-Band-Release veröffentlicht, das unabhängig vom regulären Patch Tuesday eingespielt werden muss.

Windows, Office und Server-Produkte betroffen

Den grössten Anteil der Updates macht mit 724 Schwachstellen Windows selbst aus, verteilt auf 32 einzelne Updates, die sowohl Windows-11-Clients als auch die unterstützten Windows-Server-Versionen abdecken. Fürs Serverumfeld heisst das: Windows Server ist von den beiden aktiv ausgenutzten Lücken im Update Stack und in ALPC ebenso betroffen wie Windows-11-Arbeitsplätze. Für Office kommen 111 Lücken hinzu, verteilt auf kumulative Updates für Office 2019 und neuer, die über den Click-to-Run-Mechanismus verteilt werden, sowie separate MSI-Updates für das ältere Office 2016. Wer On-Premises-Server betreibt, muss zusätzlich handeln: Exchange Server erhält Updates für 9 Schwachstellen, SharePoint Server für 16. Diese beiden Produkte sind in kleineren und mittleren Firmen oft im Einsatz, wenn E-Mail oder Dokumentenablage nicht in der Cloud liegen. Skype for Business ist mit 10 weiteren Schwachstellen betroffen, dazu kommen Updates für SQL Server, Azure-Komponenten und Entwicklerwerkzeuge. Nicht Teil dieses monatlichen Pakets sind Updates für Microsoft Edge: Der Browser bezieht seine Chromium-Basis über einen eigenen, deutlich schnelleren Update-Takt ausserhalb von Patch Tuesday. So schloss Edge bereits am 2. September 2026, also vor dem eigentlichen Patch Tuesday, die aktiv ausgenutzte Chromium-Lücke CVE-2026-85046 in der V8-Engine. Der separate Excel-Einfügefehler vom 8. September ist ebenfalls nicht Teil dieses Updates und wird hier nicht behandelt.

Was Schweizer KMU jetzt tun sollten

• Windows-Updates für Client- und Serversysteme zeitnah einspielen, insbesondere wegen der zwei aktiv ausgenutzten Lücken im Update Stack und in ALPC.
• Bei lokal betriebenem Exchange Server oder SharePoint Server die zugehörigen kumulativen Updates prioritär testen und ausrollen.
• Office-Updates über die bestehende Update-Kanal-Konfiguration verteilen, statt manuell auf jedem Gerät nachzurüsten - dabei zwischen Click-to-Run (2019+) und MSI-Updates (2016) unterscheiden.
• Prüfen, ob das Out-of-Band-Update zu CVE-2026-85921 sowie die separaten Edge-Sicherheitsupdates bereits eingespielt sind, da beide ausserhalb des regulären Patch-Tuesday-Zyklus erscheinen.
• Den Patch-Status in der eigenen Umgebung mit dem Security Update Guide von Microsoft abgleichen, um keine der 975 Einzelmeldungen zu übersehen.