Sechs der nun geschlossenen Schwachstellen sind mit dem höchstmöglichen CVSS-Wert von 10 bewertet. Dazu zählen Rechteausweitungen (Elevation of Privilege) in Azure SQL Database (CVE-2026-69502), in Azure Arc (CVE-2026-69555 und CVE-2026-65816) sowie in Exchange Online (CVE-2026-65801). Hinzu kommen zwei Lücken, die Remotecodeausführung ermöglichen: eine in Azure Managed Instance for Apache Cassandra (CVE-2026-65770) und eine in Entra ID (CVE-2026-69836).

Sieben weitere als kritisch eingestufte Rechteausweitungen hat Microsoft ebenfalls behoben. Betroffen sind erneut Azure SQL Database (CVE-2026-68782, CVE-2026-68789 und CVE-2026-66309), Microsoft Fabric (CVE-2026-63509), Entra ID (CVE-2026-69851), Azure Logic Apps (CVE-2026-69400) sowie Azure Data Factor (CVE-2026-62834).

Daneben stopfte der Konzern Lücken mit hohem Schweregrad in Azure Virtual Machines, Microsoft Partner Center, Azure Data Factory, Azure Stack HCI, Azure Data Manager for Energy, Copilot in Azure und Windows Remote Help Defense.

Für die Mehrzahl der Fehler ist kein Eingreifen der Kunden nötig: Microsoft hat die Gegenmaßnahmen serverseitig eingespielt – ein Muster, das sich bei Cloud-Diensten durchzieht, da die anfälligen Komponenten im Verantwortungsbereich des Anbieters liegen.

Bereits Anfang dieser Woche hatte Microsoft eine Command-Injection-Schwachstelle hoher Schwere in Copilot geschlossen. Der Fehler (CVE-2026-24301) ließ sich aus der Ferne ausnutzen und konnte zur Offenlegung von Informationen führen.

Offen bleibt hingegen ShieldBreak. Den Zero-Day-Exploit gegen Microsoft Defender hatte der Sicherheitsforscher Nightmare Eclipse, der auch unter dem Namen Chaotic Eclipse auftritt, am Patchday im August 2026 veröffentlicht. Microsoft stuft die zugrunde liegende Schwachstelle als Fehler hoher Schwere ein; sie wird als CVE-2026-69414 mit einem CVSS-Wert von 7.8 geführt.

„Microsoft ist eine Rechteausweitung in der Microsoft Malware Protection Engine in Microsoft Defender bekannt, die öffentlich als ‚ShieldBreak‘ bezeichnet wird. Wir arbeiten daran, ein hochwertiges Sicherheitsupdate bereitzustellen, das diese Schwachstelle behebt“, teilte das Unternehmen mit. Ein Termin für die Veröffentlichung des Patches nannte Microsoft nicht.