Bei CVE-2026-85880 handelt es sich um eine Lücke, die den Ausbruch aus der Sandbox erlaubt. „Ein Angreifer, der Code in einem AppContainer mit niedrigen Rechten ausführen kann, könnte diese Schwachstelle lokal ausnutzen, um aus der Sandbox auszubrechen und seine Rechte auf dem betroffenen System auszuweiten“, heißt es in Microsofts Hinweis. Zusätzliche Nutzerinteraktion ist demnach nicht erforderlich.
Die zweite ausgenutzte Lücke, CVE-2026-81963, betrifft den Windows Update Stack. Alle unterstützten Windows-Versionen erhalten dafür einen Patch, wie Adam Barnett, leitender Softwareentwickler bei Rapid7, erläutert: Der Fix verschärfe vermutlich die Kontrollen, damit der Windows Update Stack keinem manipulierten Verweis folgt und eine Systemkomponente durch eine vom Angreifer kontrollierte Fälschung ersetzt.
Für die Meldung von CVE-2026-85880 danken die Redmonder den Sicherheitsfirmen Volexity und Proofpoint. Die zweite Lücke geht auf Romain Deperne, Offensive-Security-Forscher bei Airbus Helicopters, sowie das Microsoft Threat Intelligence Center (MSTIC) zurück.
Nach Auswertung der Schwachstellen-Plattform Tenable gab es seit 2022 sieben Rechteausweitungsfehler im Windows Update Stack – CVE-2026-81963 ist jedoch der erste Zero-Day darunter und der erste, der in freier Wildbahn ausgenutzt wurde. CVE-2026-85880 ist nach CVE-2023-21674, das im Januar 2023 behoben wurde, erst der zweite als Zero-Day missbrauchte Fehler dieser Art.
Die schiere Menge stellt Administratoren vor ein Priorisierungsproblem. „In dieser Größenordnung besteht die Herausforderung nicht darin, die Patch-Liste abzuarbeiten, sondern zu wissen, was zuerst Aufmerksamkeit braucht“, sagt Jack Bicer, Leiter der Schwachstellenforschung bei Action1. Wenn Hunderte Updates gleichzeitig eintreffen, müssten IT- und Sicherheitsteams rasch trennen zwischen Lücken, die sofortiges Handeln verlangen, und solchen, die dem normalen Ausrollzyklus folgen können.
Satnam Narang, Senior Staff Research Engineer bei Tenable, spricht gegenüber The Hacker News von einem Wendepunkt in der Geschichte des Patchdays: Mit nach seiner Zählung 964 CVEs sei ein weiterer Rekord des Jahres 2026 gefallen – rund 70 Prozent über dem bisherigen Höchstwert von 569 im Juli. Die Jahressumme liege damit bei über 2.600 und übertreffe bereits jetzt, drei Monate vor Jahresende, das bisherige Rekordjahr 2020 (1.245) um mehr als das Doppelte. Trotz der Masse sei die Zahl der Schwachstellen, die die meisten Organisationen tatsächlich betreffen, gering; ein entsprechender Anstieg aktiver Angriffe blieb bislang aus. Entscheidend sei zu klären, welche Lücken überhaupt einschlägig sind und ob sie über das Internet erreichbar und ausnutzbar sind.
Die Zero Day Initiative (ZDI) von TrendAI zählt für dieses Jahr bereits 2.760 von Microsoft behobene Sicherheitslücken – ein Hinweis darauf, dass KI-gestützte Schwachstellensuche vorerst nicht abflauen dürfte.
Tyler Reguly, Associate Director für Security R&D bei Fortra, ordnet die Zahlen ein: „Solange Microsoft beim Patchen von Schwachstellen aufholt, haben Zahlen jede Bedeutung verloren.“ Das sei kein Microsoft-spezifisches Problem, dasselbe zeige sich bei Oracle und anderen großen, proaktiv agierenden Herstellern. Hohe CVE-Zahlen seien positiv, weil die Angriffsfläche verkleinert werde, bevor Angreifer die Lücken fänden; irgendwann seien alle lange bestehenden, schwer auffindbaren Fehler behoben und der Patchday kehre zu seinem üblichen Rhythmus zurück.