Exploits im September 2026

Was seit dem Patch Tuesday im August passiert ist

Zwischen den Patch-Zyklen war einiges los. Seit Microsofts Veröffentlichung vom 11. August wurde für fünf Microsoft-CVEs die Ausnutzung in freier Wildbahn bestätigt, und Google hat einen Notfall-Fix für Chrome für einen sechsten Zero-Day im Jahr 2026 bereitgestellt. Das ist nicht theoretisch — alle sechs stehen heute im CISA-Katalog der Known Exploited Vulnerabilities, und zwei werden aktiv staatlichen Akteuren zugeschrieben. Bevor wir auf die heutige Veröffentlichung eingehen, sollten Verteidiger Folgendes bereits behoben haben — oder andernfalls umgehend eskalieren:

Microsoft — seit der August-Veröffentlichung (einschließlich dieser) bestätigte Ausnutzung:

  • CVE-2026-68820 — Windows Ancillary Function Driver for WinSock (afd.sys), Rechteausweitung. Wichtig, CVSS 7.0. Eine Use-after-free-Schwachstelle ermöglicht es einem lokal authentifizierten Angreifer, eine Race Condition auszunutzen und Rechte auf SYSTEM zu erhöhen. Seit der August-Veröffentlichung als in freier Wildbahn ausgenutzt bestätigt; Check Point Research bringt die aktive Ausnutzung mit der Operation-Dream-Job-Kampagne der Lazarus-Gruppe in Verbindung, bei der ein neuer Build des FudModule-Kernel-Rootkits eingesetzt wird. Patch verfügbar: 11. August 2026 (am selben Tag der Offenlegung zu CISA KEV hinzugefügt). Bestätigen Sie die Bereitstellung, falls noch nicht geschehen.
  • CVE-2026-33824 — Windows Internet Key Exchange (IKE) Service Extensions, Remotecodeausführung. Kritisch, CVSS 9.8. Eine Double-free-Schwachstelle, die wurmfähig ist und keine Authentifizierung erfordert. Patch verfügbar: 14. April 2026 — diese Schwachstelle war bereits über vier Monate gepatcht, bevor CISA die aktive Ausnutzung bestätigte und sie am 18. August 2026 in KEV aufnahm. Wenn diese Schwachstelle irgendwo in Ihrer Umgebung noch offen ist, ist sie seit Wochen in freier Wildbahn ausnutzbar — mit einem Fix, der bereits seit dem Frühjahr in der Update-Konsole bereitsteht.
  • CVE-2026-55040 — Microsoft SharePoint Server, Umgehung von Sicherheitsfunktionen (schwache Authentifizierung). Kritisch, CVSS 9.1. Patch verfügbar: 14. Juli 2026 (Patch Tuesday im Juli). Die Ausnutzung begann innerhalb weniger Stunden nach der öffentlichen technischen Analyse von Rapid7 vom 11. August; am 18. August zu CISA KEV hinzugefügt. Diese Schwachstelle wird außerdem mit CVE-2026-63520 verkettet (Patch verfügbar seit 11. August 2026 — Patch Tuesday im August), um zunächst die Authentifizierung zu umgehen und anschließend Remotecode auszuführen — beide Patches sind erforderlich, um die vollständige Angriffskette zu schließen.
  • CVE-2019-1068 — Microsoft SQL Server, Remotecodeausführung. Patch verfügbar: 9. Juli 2019. Am 26. August 2026 erneut in den KEV-Katalog der CISA aufgenommen, basierend auf neuen Hinweisen auf aktive Ausnutzung, obwohl es sich um eine sechs Jahre alte CVE handelt. Zur Erinnerung: „alt“ bedeutet nicht „kann bedenkenlos niedriger priorisiert werden“ — dieser Patch ist seit Jahren verfügbar.
  • CVE-2026-62832 — Windows User Profile Service, Rechteausweitung. Wichtig, CVSS 7.8. Vor Verfügbarkeit eines Patches während des August-Zyklus öffentlich offengelegt und von Microsoft als „Exploitation More Likely“ eingestuft. Zum Zeitpunkt dieser Veröffentlichung keine bestätigte Ausnutzung und nicht im KEV-Katalog der CISA geführt; daher gilt kein KEV-Datum für die Patch-Verfügbarkeit — hier aufgrund der erhöhten Risikoeinstufung aufgenommen.

Google Chrome — seit dem Patch Tuesday im August bestätigte Ausnutzung:

  • CVE-2026-85046 — Chrome V8 JavaScript/WebAssembly-Engine, Type Confusion. Hoher Schweregrad, CVSS 8.8. Präparierte Webinhalte können beliebige Lese-/Schreibvorgänge innerhalb der Chrome-Sandbox auslösen, was potenziell zur Codeausführung führen kann. Google bestätigte, dass zum Zeitpunkt der Bereitstellung des Patches ein Exploit in freier Wildbahn existierte. Patch verfügbar: 3. September 2026 (Chrome 152.0.7977.82/.83) — dies ist Chromes sechster bestätigter ausgenutzter Zero-Day im Jahr 2026 und der dritte, der speziell auf V8 abzielt. Zu CISA KEV hinzugefügt: 4. September 2026, mit einer FCEB-Frist zur Behebung bis zum 18. September. Microsoft Edge, Brave, Opera und Vivaldi übernehmen alle die zugrunde liegende Chromium-Schwachstelle und erfordern jeweils eigene Hersteller-Updates.

Wenn eine der oben genannten Schwachstellen in Ihrer Umgebung noch offen ist, behandeln Sie sie mit höherer Priorität als alles in der heutigen Veröffentlichung — bestätigte Ausnutzung hat stets Vorrang vor dem CVSS-Score.

Die heutige Microsoft-Veröffentlichung

Microsofts Patch Tuesday im September 2026 behebt 973 CVEs — eine der größten Einzelveröffentlichungen des Jahres — darunter 119 als kritisch eingestufte Schwachstellen und zwei Zero-Days, deren Ausnutzung in freier Wildbahn bestätigt wurde (CVE-2026-85880, CVE-2026-81963).

Bekannte ausgenutzte Schwachstellen / Zero-Day-Schwachstellen (heutige Veröffentlichung)

  • CVE-2026-85880 — Heap-basierter Pufferüberlauf in Windows ALPC (Advanced Local Procedure Call), Rechteausweitung. Hoher Schweregrad, CVSS 7.8 / 6.8. Ermöglicht es einem autorisierten lokalen Angreifer mit geringen Rechten, ohne erforderliche Benutzerinteraktion Rechte auf SYSTEM zu erhöhen. Betroffene Produkte: Windows 10, Windows 11, Windows Server 2012, Server 2012 R2, Server 2016, Server 2019, Server 2022 — praktisch die gesamte unterstützte Windows-Server- und Desktop-Flotte. Microsofts Advisory führt diese Schwachstelle als in freier Wildbahn ausgenutzt auf. Patch heute verfügbar, 8. September 2026.
  • CVE-2026-81963 — Rechteausweitung. CVSS 7.8 / 7.2. Betroffene Produkte: Windows 11, Windows Server 2025. Eine erfolgreiche Ausnutzung könnte es einem Angreifer ermöglichen, SYSTEM-Rechte zu erlangen. Microsofts Advisory führt diese Schwachstelle als in freier Wildbahn ausgenutzt auf. Deutlich kleinerer Auswirkungsbereich als bei CVE-2026-85880 — betroffen sind nur die neuesten Betriebssystemversionen; Umgebungen mit Windows 10 oder älteren Server-Builds sind dieser speziellen Schwachstelle daher nicht ausgesetzt, bleiben jedoch gegenüber der oben genannten CVE-2026-85880 exponiert. Patch heute verfügbar, 8. September 2026.

Schwachstellen von Drittanbietern

Adobe: Adobe hat zwischen dem 7. und 8. September 2026 zehn Sicherheitsbulletins veröffentlicht und damit insgesamt rund 161 CVEs behoben. Die Updates betreffen: Experience Manager (APSB26-98), ColdFusion (APSB26-119), Photoshop (APSB26-130), Illustrator (APSB26-131), Animate (APSB26-132), Photoshop Mobile (APSB26-136), Commerce (APSB26-138 — ein zweites, routinemäßiges Commerce-Bulletin, getrennt vom gestrigen Zero-Day-Fix), Acrobat and Reader (APSB26-141) und Campaign Classic (APSB26-142). Der Zero-Day CVE-2026-75650 in Adobe Commerce (APSB26-146, veröffentlicht am 7. September — nicht authentifizierte Ausführung beliebigen Codes, bereits zur Installation von Backdoors in Online-Shops ausgenutzt) bleibt der herausragende Punkt und sollte weiterhin als eigener führender Hinweis getrennt vom heutigen Routinepaket behandelt werden.

Mozilla: Firefox 155, veröffentlicht am 1. September, behob 29 Schwachstellen, davon 13 als kritisch eingestuft. Für keine davon gibt es Hinweise auf eine Ausnutzung in freier Wildbahn. Firefox für iOS wurde am 8. September veröffentlicht und behebt eine CVE mit niedrigem Schweregrad.

Chrome/Edge: Chrome 152.0.7977.82/.83 hat in der Veröffentlichung vom 3. September 2026 insgesamt 12 Schwachstellen behoben, darunter die aktiv ausgenutzte CVE-2026-85046. Updates für Edge, Brave, Opera und Vivaldi sollten gemäß den jeweiligen Zeitplänen der Anbieter folgen.

Ivanti Sicherheitsupdate September 2026

Ivanti hat heute, am 8. September 2026, 10 CVEs in drei Produkten offengelegt: Endpoint Manager Mobile (EPMM), Neurons for ITSM und Sentry. Ivanti gibt an, vor der Offenlegung keine Hinweise auf eine aktive Ausnutzung einer dieser Schwachstellen zu haben.

  • Ivanti Neurons for ITSM hat acht CVEs behoben. Cloud-/SaaS-Kunden waren bereits geschützt — Ivanti hat den Fix am 9. August 2026 auf alle Cloud-Landschaften angewendet. On-Premises-Administratoren sollten den Security Patch September 2026 für ihre Version jetzt über den Ivanti License Server (ILS) anwenden; On-Premises 2026.2 wird den Fix bei der Veröffentlichung am 21. September 2026 bereits integriert enthalten.
  • Ivanti Endpoint Manager Mobile (EPMM) hat eine CVE behoben. Betroffen sind die Versionen 12.9.0.1 und früher, 12.8.0.3 und früher sowie alle Builds vor 12.10.0.0. Behoben in 12.10.0.0, 12.9.0.2 und 12.8.0.4.
  • Ivanti Sentry hat eine CVE behoben. Betroffen sind R10.8.1, R10.7.2, R10.6.3 und früher. Behoben in R10.8.2, R10.7.3 und R10.6.4. Ebenfalls relevant für Sentry-Bereitstellungen, die über EPMM und Neurons for MDM verwaltet werden.

To-do-Liste für das September-Update

  1. Patchen Sie Adobe Commerce (CVE-2026-75650) sofort, da es derzeit aktiv ausgenutzt wird — unabhängig vom heutigen Patch Tuesday.
  2. Stellen Sie sicher, dass die fünf Microsoft-CVEs und die eine Chrome-CVE, die oben im Abschnitt „seit August“ aufgeführt sind, in Ihrer Umgebung geschlossen sind — sie stammen aus der Zeit vor der heutigen Veröffentlichung, gehören aber weiterhin zu den Risiken mit der höchsten bestätigten Ausnutzung, die möglicherweise noch offen sind.
  3. Patchen Sie aufgrund aktiver Ausnutzung sofort: CVE-2026-85880 betrifft die gesamte Windows-Flotte (10, 11, Server 2012–2022) — priorisieren Sie diese Schwachstelle durchgängig. CVE-2026-81963 hat einen kleineren Umfang (nur Windows 11 und Server 2025), ist für Umgebungen mit diesen Builds jedoch ebenso dringend. Beide sind bestätigte ausgenutzte Zero-Days in der heutigen Veröffentlichung und haben Vorrang vor dem Rest des Microsoft-Pakets.
  4. Stellen Sie Windows-OS- und Office-Updates bereit, um den Großteil der verbleibenden 973 CVEs zu beheben; bei 119 kritischen Schwachstellen in diesem Monat sollten internetexponierte Systeme und Benutzersysteme zuerst priorisiert werden.
  5. Priorisieren Sie Browser-Updates (Chrome, Firefox, Edge) unabhängig vom Schweregrad in einem wöchentlichen Rhythmus.