Mit 966 behobenen Schwachstellen liefert Microsoft den bislang größten Patchday seiner Geschichte ab. Zum Vergleich: Im Juli waren 570 Lücken geschlossen worden, im August 400. Als Grund für den steilen Anstieg gilt der Einsatz eines KI-gestützten Systems zur Schwachstellensuche, mit dem Microsoft begonnen hat, quer durch sein Softwareportfolio mehr Sicherheitsprobleme aufzuspüren.
Von den 966 Schwachstellen gelten 105 als „kritisch". Der Löwenanteil davon – 81 Lücken – erlaubt Remotecodeausführung, 20 ermöglichen eine Ausweitung von Rechten, zwei einen Informationsabfluss und eine die Umgehung einer Sicherheitsfunktion.
Zwei Schwachstellen wurden bereits vor Verfügbarkeit eines offiziellen Fixes angegriffen. Microsoft zählt eine Lücke dann als Zero-Day, wenn sie öffentlich bekannt gemacht oder aktiv ausgenutzt wird, ohne dass ein Patch bereitsteht.
Die erste betrifft den Windows Update Stack und wird als CVE-2026-81963 geführt. „Unsachgemäße Auflösung von Verknüpfungen vor dem Dateizugriff (‚Link Following‘) im Windows Update Stack erlaubt einem authentifizierten Angreifer die lokale Ausweitung von Rechten", schreibt Microsoft. Angreifer können darüber SYSTEM-Rechte erlangen. Gemeldet wurde die Schwachstelle von Romain Deperne sowie vom Microsoft Threat Intelligence Centre (MSTIC). Angaben dazu, wie die Lücke in Angriffen ausgenutzt wurde, macht Microsoft nicht.
Die zweite aktiv ausgenutzte Lücke, CVE-2026-85880, steckt im Windows Advanced Local Procedure Call (ALPC). „Ein Heap-basierter Pufferüberlauf in Windows ALPC erlaubt einem authentifizierten Angreifer die lokale Ausweitung von Rechten", erläutert Microsoft. Auch hier erlangten Angreifer SYSTEM-Privilegien; Details zum Ablauf der Angriffe nennt der Hersteller ebenfalls nicht. Entdeckt wurde der Fehler von Volexity sowie von Mark Kelly, David Galazin und Jeremy Hedges von Proofpoint.
Nicht in der Gesamtzahl enthalten sind 204 Schwachstellen, die Microsoft bereits früher in diesem Monat außerhalb des Patchday-Zyklus geschlossen hat. Betroffen waren dabei unter anderem Azure AI Language, Azure Cosmos DB, Copilot Studio, Entra ID, Mariner, Microsoft Azure Active Directory B2C, Microsoft Discovery Studio, Microsoft Edge (Chromium-basiert), Microsoft Fabric und Power Automate. BleepingComputer zählt für seine Patchday-Berichte grundsätzlich nur jene Lücken, die Microsoft am Patchday selbst veröffentlicht.
Parallel zu den Sicherheitsupdates hat Microsoft die kumulativen Updates KB5124008 und KB5122880 für Windows 11 sowie das erweiterte Sicherheitsupdate KB5122878 für Windows 10 ausgeliefert, die auch nicht sicherheitsrelevante Änderungen enthalten.