Die erste aktiv ausgenutzte Lücke, CVE-2026-85880, ist ein Heap-Pufferüberlauf im Windows Advanced Local Procedure Call (ALPC). „Ein Angreifer, der Code in einem AppContainer mit niedrigen Rechten ausführen kann, könnte diese Schwachstelle lokal ausnutzen, um aus der Sandbox auszubrechen und seine Rechte auf dem betroffenen System auszuweiten. Eine zusätzliche Nutzerinteraktion ist nicht erforderlich“, heißt es in Microsofts Advisory.
Satnam Narang, Senior Staff Research Engineer bei Tenable, ordnet den Fund historisch ein: Seit April 2023 habe Microsoft keinen ALPC-Fehler mehr gepatcht, und CVE-2026-85880 sei erst der zweite Zero-Day in dieser Komponente seit knapp vier Jahren – nach CVE-2023-21674 im Januar 2023.
Der zweite Zero-Day, CVE-2026-81963, betrifft den Windows Update Stack, also jene Komponenten, die für die Installation von Windows-Updates zuständig sind. Es handelt sich um eine fehlerhafte Auflösung von Verweisen vor dem Dateizugriff („Link Following“), die lokalen Angreifern ebenfalls Systemrechte verschafft. Laut Narang ist dies der erste als Zero-Day eingestufte Fehler im Update Stack – von insgesamt sieben, die dort in den vergangenen fünf Jahren behoben wurden.
Neben Windows und Office verteilen sich die Korrekturen auf SQL (62), Developer Tools (22), SharePoint Server (16), Azure (12), Skype for Business (10) und Exchange Server (9). Zusätzlich hat Microsoft frische Servicing Stack Updates (SSU) für Windows Server 2012, Windows Server 2012 R2 sowie Windows 10 Version 1607/Server 2016 bereitgestellt; sie gelten als kritische Updates.
Besondere Aufmerksamkeit verdienen nach Einschätzung von Dustin Childs (ZDI) mehrere Einzelfälle: CVE-2026-55007 (Remotecodeausführung in Exchange Server), CVE-2026-80097 (Rechteausweitung im Authenticator), CVE-2026-69465 (Remotecodeausführung in SharePoint), CVE-2026-65669 (Rechteausweitung im SQL Server) sowie CVE-2026-69525 (Remotecodeausführung in Remote Desktop Services). 20 der neu geschlossenen Lücken hält Childs für wurmfähig.
Narang relativiert die Rekordzahl: „Eines der wichtigsten Dinge, die man beim jüngsten Anstieg der Patchday-Veröffentlichungen erkennen muss, ist, dass die Zahl der gepatchten Schwachstellen zwar steigt, die Zahl derjenigen, die die meisten Organisationen tatsächlich betreffen können und werden, aber recht niedrig bleibt.“ Die KI-gestützte Schwachstellensuche des Jahres 2026 erzeuge „größere Heuhaufen, findet aber nicht mehr Nadeln“. Entscheidend sei, zu verstehen, welche Lücken überhaupt zutreffen, ob sie erreichbar und ausnutzbar seien, und die Behebung entlang dieses Risikokontexts zu priorisieren.
Tyler Reguly, Associate Director bei Fortra, sieht in der wachsenden Patch-Menge – die kein rein auf Microsoft beschränkter Trend sei – ein Zeichen dafür, dass proaktive Hersteller ihre Angriffsfläche verkleinern wollen. „Irgendwann werden all diese seit Langem bestehenden, schwer auffindbaren Schwachstellen behoben sein, und der Patch Tuesday kehrt zu seinem üblichen Rhythmus zurück. Bis dahin ist Priorisierung entscheidend – und Gutscheine für zusätzlichen Kaffee für die Administratoren dürften gut ankommen“, so Reguly.