Bei den Fehlerklassen setzt sich das Muster der vergangenen Monate fort: Rund 45 Prozent beziehungsweise 438 Schwachstellen erlauben eine Rechteausweitung (Elevation of Privilege), mit der Angreifer in vielen Fällen Administrator- oder Systemrechte auf kompromittierten Systemen erlangen können. Weitere 25 Prozent (260) ermöglichen Codeausführung aus der Ferne, etwa 18 Prozent (175) betreffen Informationsabfluss.
Die beiden aktiv ausgenutzten Zero-Days sind CVE-2026-85880 (CVSS 7.8), eine Rechteausweitung im Windows Advanced Local Procedure Call (ALPC), sowie CVE-2026-81963 (CVSS 7.8), ebenfalls eine Rechteausweitung, hier im Windows Update Stack. Beide setzen voraus, dass ein Angreifer bereits Zugriff auf das System hat, erlauben ihm dann aber SYSTEM-Rechte.
Dustin Childs, Leiter Threat Awareness bei der Zero Day Initiative von Trend Micro, verweist auf CVE-2026-69380 (CVSS 8.1), eine Rechteausweitung im Microsoft Exchange Server, die sofort gepatcht werden sollte: Sie „erlaubt es Angreifern mit niedrigen Rechten, sich als beliebiger Nutzer auszugeben und jedes Postfach der Organisation zu übernehmen".
Ebenso dringlich ist laut Childs ein Bündel von 20 als wurmfähig eingestuften CVEs, die es einem nicht authentifizierten Angreifer aus der Ferne erlauben, beliebigen Code auszuführen. Diese „Zero-Click-Schwachstellen zur Codeausführung — angeführt von einer Lücke im Windows DNS Server (CVE-2026-69730, CVSS 9.8), die als geistiger Nachfolger von SigRed auftritt — erzeugen ein schweres Risiko selbstverbreitender Ansteckung in Unternehmensnetzen", schrieb er. SigRed (CVE-2020-1350) war eine 2020 bekannt gewordene Lücke höchster Schwere in DNS-Servern, über die nicht authentifizierte Angreifer Kontrolle auf Ebene von Local System beziehungsweise Domänenadministrator erlangen und sich ohne Nutzerinteraktion im Netz ausbreiten konnten.
„Fast 1.000 CVEs pro Monat bestätigen, dass KI-gestützte Schwachstellensuche die neue Normalität der Branche ist und die menschlichen Patch-Kapazitäten vollständig übersteigt", so Childs. Zusammen mit dem außergewöhnlichen Bündel von 20 wurmfähigen Fehlern stünden Verteidiger vor einem höheren Risiko automatisierter Ausbreitung im Netzwerk als seit Jahren.
Forscher von Action1 heben drei Schwachstellen zur Codeausführung mit nahezu maximaler Schwere (CVSS 9.8) hervor: CVE-2026-69829 in der Windows Shell, CVE-2026-69595 im ONCRPC-XDR-Treiber der Windows Services for NFS sowie CVE-2026-78510 in Microsoft Word. Sie gelten wegen ihrer möglichen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit als hochriskant.
Amol Sarwate, Leiter der Sicherheitsforschung und des REDLab bei Cohesity, rät, in diesem Monat die Windows-Identitäts- und Infrastrukturebene zu priorisieren: Angreifer könnten nicht authentifizierte Pakete an DNS-, DHCP-, RDS- und Netlogon-Dienste auf Domänencontrollern und Exchange-Servern senden. Auf Endgeräten sei der Office-Stack vorzuziehen, da sich über eine Bedingung im SMB-Client per manipulierter Word-RTF-Datei oder präparierter Nachricht im Outlook-Lesebereich Code ausführen lasse. „Eine einzige Freigabe oder Phishing-Mail kann die Arbeitsstation übernehmen, ohne dass der Nutzer etwas öffnet", warnte er.
Satnam Narang, Senior Staff Research Engineer bei Tenable, ordnet die Zahlen ein: Zwar steige die Menge gepatchter Schwachstellen, die Zahl derer, die die meisten Organisationen tatsächlich betreffen, bleibe aber gering. „KI-gestützte Schwachstellensuche erzeugt 2026 größere Heuhaufen, findet aber nicht mehr Nadeln." Sicherheitsteams sollten prüfen, welche Lücken in ihrer konkreten Umgebung erreichbar und ausnutzbar sind, und nach Risikokontext priorisieren.
Tyler Reguly, Associate Director für Security R&D bei Fortra, hält den Anstieg für vorübergehend: „Diese großen CVE-Zahlen sind etwas Gutes, weil wir die Angriffsfläche verkleinern, bevor Angreifer die Schwachstellen finden und nutzen können." Irgendwann seien alle lange bestehenden, schwer auffindbaren Lücken behoben und der Patch Tuesday kehre zu seinem üblichen Takt zurück.