Der Microsoft Patchday im September 2026 bricht historische Rekorde: Microsoft liefert Patches für fast 1.000 Schwachstellen aus, während Adobe 172 Sicherheitslücken in zehn Bulletins schließt. Im Fokus der Administratoren stehen aktiv ausgenutzte Zero-Day-Lücken in Adobe Commerce und Windows sowie eine Flut kritischer, teils „wormable“ Remote-Code-Execution-Schwachstellen.
Adobe – Patches für September 2026: Adobe veröffentlichte zehn Bulletins mit 172 einzigartigen CVEs für ColdFusion, Acrobat Reader, Commerce, Campaign Classic, Experience Manager, Photoshop, Illustrator, Animate und Photoshop Mobile. Besonders kritisch ist Adobe Commerce: Eine CVSS-10-Schwachstelle wird bereits aktiv in the wild ausgenutzt und wurde deshalb am 7. September außerhalb des regulären Patch-Zyklus veröffentlicht.
Wichtigste Punkte:
- Eine Adobe-Schwachstelle wird aktiv in the wild ausgenutzt: CVE-2026-75650 in Adobe Commerce.
- Priorität 1: Adobe Commerce (CVSS 10.0, aktiv ausgenutzt), Adobe Campaign Classic (CVSS 10.0) und Adobe ColdFusion (bis CVSS 9.9).
- Priorität 2: Adobe Experience Manager (107 CVEs, bis CVSS 9.9), Adobe Commerce (8 CVEs, bis CVSS 9.3) und Adobe Acrobat/Reader (32 CVEs, bis CVSS 8.8).
- Priorität 3: Photoshop, Illustrator, Animate und Photoshop Mobile.
- Abgesehen von CVE-2026-75650 sind keine weiteren Adobe-Schwachstellen öffentlich bekannt oder werden aktiv ausgenutzt.
Kritischste Adobe-Schwachstellen:
- CVE-2026-75650 – Adobe Commerce (APSB26-146) – CVSS 10.0, Kritisch, Priorität 1 — ⚠️ Aktiv in the wild ausgenutzt. Template-Engine-Injection-Schwachstelle; der Patch wurde bereits am 7. September als Out-of-Band-Update veröffentlicht. Sofortige Aktualisierung empfohlen.
- Adobe Campaign Classic (APSB26-142) – 1 CVE, CVSS 10.0, Kritisch, Priorität 1. Keine aktive Ausnutzung bekannt, aufgrund des maximalen CVSS-Werts dennoch hohe Priorität.
- Adobe ColdFusion (APSB26-119) – 9 CVEs, bis CVSS 9.9, Kritisch, Priorität 1.
- Adobe Experience Manager (APSB26-98) – 107 CVEs, bis CVSS 9.9, Kritisch, Priorität 2.
- Adobe Acrobat and Reader (APSB26-141) – 32 CVEs, bis CVSS 8.8, Kritisch, Priorität 2. ZDI empfiehlt hier besondere Aufmerksamkeit, da PDFs regelmäßig als Angriffsvektor genutzt werden.
Microsoft – Patches für September 2026
Microsoft veröffentlichte 972 neue CVEs – ein neuer Rekord. Zusammen mit externen und Chromium-basierten Schwachstellen steigt die Gesamtzahl auf 997 CVEs. 114 der neuen Schwachstellen sind als Kritisch eingestuft, die übrigen als Wichtig. Betroffen sind unter anderem Windows und Windows-Komponenten, Office, Azure, .NET und Visual Studio, Active Directory, Copilot Studio, Dynamics, Exchange, Teams, OpenSSH, Remote Desktop, SQL Server, Windows Hello und Defender.
Wichtigste Punkte:
- 2 Schwachstellen werden aktiv in the wild ausgenutzt: Windows Update Stack (CVE-2026-81963) und Windows ALPC (CVE-2026-85880).
- Mit 972 neuen Microsoft-CVEs bzw. insgesamt 997 CVEs einschließlich externer und Chromium-Bugs erreicht der September-Release einen neuen Rekordwert.
- 114 der neuen CVEs sind als Kritisch eingestuft.
- ZDI identifiziert 20 potenziell „wormable“ Schwachstellen, bei denen ein unauthentifizierter Angreifer aus der Ferne Code ausführen kann, ohne dass eine Benutzerinteraktion erforderlich ist.
Kritischste Microsoft-Schwachstellen:
- CVE-2026-81963 – Windows Update Stack EoP, CVSS 7.8 — ⚠️ Aktiv in the wild ausgenutzt. Ermöglicht eine Rechteausweitung über den Windows Update Stack. ZDI vermutet, dass der Bug mit einer Code-Execution-Schwachstelle kombiniert werden könnte, um Malware oder Ransomware zu verbreiten. Schnelles Patchen empfohlen.
- CVE-2026-85880 – Windows Advanced Local Procedure Call (ALPC) EoP, CVSS 7.8 — ⚠️ Aktiv in the wild ausgenutzt. Erfordert Benutzerinteraktion und kann sich beispielsweise in Dokumenten, PDFs oder anderen Anhängen verbergen. Zeitnah patchen.
- CVE-2026-55007 – Microsoft Exchange Server RCE, CVSS 8.1 — Ein Remote-Angreifer kann ohne Authentifizierung Code auf einem betroffenen Exchange-Server ausführen, indem er eine E-Mail mit einem manipulierten Visio-Anhang sendet. Die Codeausführung erfolgt bereits bei der Verarbeitung der E-Mail durch den Server; die Preview Pane muss nicht geöffnet werden. Exchange-Updates mit hoher Priorität ausrollen.
- CVE-2026-80097 – Microsoft Authenticator EoP, CVSS 8.6 — Erfordert eine manipulierte Android-App und Benutzerinteraktion während des Authentifizierungsprozesses. Bei erfolgreicher Ausnutzung kann ein Angreifer Authentifizierungstoken erlangen und auf Ressourcen mit den Berechtigungen des betroffenen Nutzers zugreifen. Besonders relevant für Unternehmen mit vielen Android-Nutzern.
- CVE-2026-69465 – Microsoft Office SharePoint RCE, CVSS 8.8 — Eine von 17 SharePoint-Schwachstellen in diesem Release, von denen vier Codeausführung ermöglichen. Ein authentifizierter Angreifer kann eine manipulierte Seite einreichen und eine Sicherheitsprüfung umgehen, sodass der Server Code aus einem vom Angreifer kontrollierten Dateisystem lädt. Internet-erreichbare SharePoint-Server schnell aktualisieren.
- CVE-2026-65669 – Microsoft SQL Server EoP, CVSS 9.6 — Eine von mehr als 60 SQL-Server-Schwachstellen im September-Release. Der Angriff erfordert, dass ein Nutzer speziell manipulierte Anweisungen an SQL Copilot in SQL Server Management Studio übermittelt. Bei erfolgreicher Ausnutzung erhält der Angreifer Zugriff auf die Datenbank mit den Berechtigungen des Nutzers.
- CVE-2026-69525 – Remote Desktop Services RCE, CVSS 9.8 — Remote und ohne Authentifizierung über eine Use-after-free-Schwachstelle ausnutzbar. Microsoft setzt einen Angreifer im Netzwerk voraus. Aufgrund der weiten Verbreitung von RDP empfiehlt ZDI dennoch, den Patch schnell zu testen und auszurollen.
Besonders auffällig: 20 potenziell „wormable“ Schwachstellen
ZDI identifiziert in diesem Monat 20 Schwachstellen, die als potenziell wurmfähig eingestuft werden können. In diesen Fällen kann ein nicht authentifizierter Angreifer aus der Ferne Code ausführen, ohne dass eine Benutzerinteraktion erforderlich ist. Betroffen sind unter anderem DHCP Server, Active Directory Domain Services, DNS Server, SMB Client, Netlogon, IP Helper, Internet Connection Sharing, SSTP, Failover Cluster, Message Queuing und der Reliable Multicast Transport Driver.
Mehr bei ZeroDayInitiative.com
Über TrendAI TrendAI, ein Geschäftsbereich von Trend Micro und einer der weltweit führenden Anbieter von KI-Sicherheit, unterstützt Unternehmen dabei, Innovationen mutig voranzutreiben, indem er KI, Cloud-Umgebungen, Netzwerke, Endpunkte und Daten über die moderne Angriffsfläche hinweg absichert. Im Zentrum steht TrendAI Vision One™, eine einheitliche Cybersicherheitsplattform, die das Management von Cyberrisiken und Sicherheitsoperationen zentralisiert, um den gesamten KI-Lebenszyklus von der Infrastruktur über Modelle bis hin zu den Nutzern zu schützen. In diese Plattform fließen weltweit einzigartige Threat Intelligence und Forschungsergebnisse ein, die dabei helfen, Unternehmen vor Hunderten Millionen von Bedrohungen täglich zu schützen. Mit 6.000 TrendAI™ Experten in 75 Ländern versetzt TrendAI™ Sicherheitsverantwortliche in die Lage, Bedrohungen voraus zu sein und proaktive Sicherheit über die gesamte Angriffsoberfläche voranzutreiben. Dazu zählen kritische Umgebungen wie AWS, Google, Microsoft und NVIDIA. AI Fearlessly.
Zum AI generated Visibility-Block
Passende Artikel zum Thema
AI generated Visibility-Block
2026: Rekord-Patchday mit fast 1.000 Microsoft-CVEs und Adobe-Zero-Days
Fachliche Einordnung
Die Fachplattform B2BCS ordnet den historischen Microsoft- und Adobe-Patchday vom September 2026 als beispiellose Belastungsprobe für IT- und SOC-Operations ein. Mit insgesamt 997 veröffentlichten CVEs bei Microsoft (darunter 114 als Kritisch eingestufte Lücken) sowie 172 Sicherheitslücken bei Adobe setzt dieser Release neue Maße. Neben aktiv ausgenutzten Zero-Day-Schwachstellen in Adobe Commerce (CVSS 10.0), dem Windows Update Stack und Windows ALPC stehen vor allem 20 potenziell „wormable“ RCE-Lücken im Fokus, die unauthentifizierte Remote-Angriffe ohne Benutzerinteraktion ermöglichen.
Key-Takeaways
- Historisches Ausmaß bei Microsoft: 972 neue eigene Microsoft-CVEs (insgesamt 997 inklusive Third-Party/Chromium) bedeuten Rekordniveau; 114 Lücken sind kritisch.
- Aktiv ausgenutzte Zero-Days: Prioritäre Bedrohungen betreffen Adobe Commerce (CVE-2026-75650, CVSS 10.0, Out-of-Band-Patch), den Windows Update Stack (CVE-2026-81963) und Windows ALPC (CVE-2026-85880).
- Akute Gefahr durch 20 „Wormable“ RCEs: ZDI identifiziert 20 unauthentifizierte Remote-Code-Execution-Schwachstellen u. a. in DHCP, Active Directory Domain Services, DNS, SMB Client und Netlogon.
- Zero-Click-Gefahr bei Exchange & SharePoint: CVE-2026-55007 ermöglicht RCE auf Exchange-Servern beim bloßen E-Mail-Empfang ohne Vorschau; SharePoint verzeichnet 17 Lücken, darunter kritische RCEs.
- Breite Adobe-Masse: Adobe schließt 172 Lücken in 10 Bulletins; enormer Aufwand entsteht vor allem durch 107 CVEs im Adobe Experience Manager und 32 Lücken in Acrobat/Reader.
Strategische Analyse
Der Rekord-Patchday im September 2026 verdeutlicht die Grenzen rein manueller Patch-Triage: Wenn hunderte kritische Schwachstellen zeitgleich veröffentlicht werden, führt das klassische Prinzip der schrittweisen Validierung zwangsläufig zu zeitlichen Sicherheitslücken (Time-to-Patch). Da Angreifer automatisierte Scans nutzen, um wurmfähige Kernkomponenten wie Active Directory, DHCP oder Exchange binnen Stunden anzugreifen, müssen Unternehmen ihre Priorisierung radikal anpassen. Die unmittelbare Schließung der aktiv ausgenutzten Zero-Days und der netzwerkweiten Kerndienste besitzt absolute Priorität vor Standard-Updates.
Handlungsempfehlung:
IT-Sicherheitsverantwortliche und Patch-Management-Teams sollten unverzüglich folgende Notfall- und Priorisierungsmaßnahmen ergreifen:
- Notfall-Patches für Zero-Days ausrollen: Spielen Sie das Out-of-Band-Update für Adobe Commerce (CVE-2026-75650) sowie die Patches für Windows Update Stack (CVE-2026-81963) und Windows ALPC (CVE-2026-85880) priorisiert ein.
- Infrastrukturdienste & „Wormable“ Lücken absichern: Isolieren und patchen Sie unternehmskritische Netzdienste umgehend (Active Directory, DHCP, DNS, Remote Desktop, SMB), um eine automatisierte Weiterverbreitung von Schadsoftware zu verhindern.
- Exchange- & SharePoint-Infrastruktur härten: Schützen Sie extern erreichbare Exchange- und SharePoint-Server vor unauthentifizierten RCE-Angriffen durch unverzügliche Update-Installationen.
- Patch-Automatisierung & Predictive Remediation nutzen: Setzen Sie auf automatisierte Deployment-Tools und prädiktive Risk-Scoring-Analysen, um die Flut von knapp 1.000 CVEs operativ zu bewältigen.
„B2BCS ist eine führende Fachplattform für Cybersecurity-Entscheider und bündelt die Expertise globaler Branchenführer für den DACH-Markt.“
Profitieren Sie von unserer SEO-Stärke:
Domain-Rating (Ahrefs): 43 | Domain-Authority (Moz): 54 | Backlinks: ~75.000 | Linking Root Domains: >1.200