September 2026: Rekord-Patchday mit fast 1.000 Microsoft-CVEs und Adobe-Zero-Days

Der Patchday im September 2026 bricht historische Rekorde : Microsoft liefert Patches für fast 1.000 Schwachstellen aus, während Adobe 172 Sicherheitslücken in zehn Bulletins schließt. Im Fokus der Administratoren stehen aktiv ausgenutzte Zero-Day-Lücken in Adobe Commerce und Windows sowie eine Flut kritischer, teils „wormable“ Remote-Code-Execution-Schwachstellen.

Adobe – Patches für September 2026

Adobe veröffentlichte zehn Bulletins mit 172 einzigartigen CVEs für ColdFusion, Acrobat Reader, Commerce, Campaign Classic, Experience Manager, Photoshop, Illustrator, Animate und Photoshop Mobile. Besonders kritisch ist Adobe Commerce: Eine CVSS-10-Schwachstelle wird bereits aktiv in the wild ausgenutzt und wurde deshalb am 7. September außerhalb des regulären Patch-Zyklus veröffentlicht.

Wichtigste Punkte:

• Eine Adobe-Schwachstelle wird aktiv in the wild ausgenutzt: CVE-2026-75650 in Adobe Commerce.
• Priorität 1: Adobe Commerce (CVSS 10.0, aktiv ausgenutzt), Adobe Campaign Classic (CVSS 10.0) und Adobe ColdFusion (bis CVSS 9.9).
• Priorität 2: Adobe Experience Manager (107 CVEs, bis CVSS 9.9), Adobe Commerce (8 CVEs, bis CVSS 9.3) und Adobe Acrobat/Reader (32 CVEs, bis CVSS 8.8).
• Priorität 3: Photoshop, Illustrator, Animate und Photoshop Mobile.
• Abgesehen von CVE-2026-75650 sind keine weiteren Adobe-Schwachstellen öffentlich bekannt oder werden aktiv ausgenutzt.

Kritischste Adobe-Schwachstellen:

• CVE-2026-75650 – Adobe Commerce (APSB26-146) – CVSS 10.0, Kritisch, Priorität 1 — ⚠️ Aktiv in the wild ausgenutzt. Template-Engine-Injection-Schwachstelle; der Patch wurde bereits am 7. September als Out-of-Band-Update veröffentlicht. Sofortige Aktualisierung empfohlen.
• Adobe Campaign Classic (APSB26-142) – 1 CVE, CVSS 10.0, Kritisch, Priorität 1. Keine aktive Ausnutzung bekannt, aufgrund des maximalen CVSS-Werts dennoch hohe Priorität.
• Adobe ColdFusion (APSB26-119) – 9 CVEs, bis CVSS 9.9, Kritisch, Priorität 1.
• Adobe Experience Manager (APSB26-98) – 107 CVEs, bis CVSS 9.9, Kritisch, Priorität 2.
• Adobe Acrobat and Reader (APSB26-141) – 32 CVEs, bis CVSS 8.8, Kritisch, Priorität 2. ZDI empfiehlt hier besondere Aufmerksamkeit, da PDFs regelmäßig als Angriffsvektor genutzt werden.

Microsoft – Patches für September 2026

Microsoft veröffentlichte 972 neue CVEs – ein neuer Rekord. Zusammen mit externen und Chromium-basierten Schwachstellen steigt die Gesamtzahl auf 997 CVEs. 114 der neuen Schwachstellen sind als Kritisch eingestuft, die übrigen als Wichtig. Betroffen sind unter anderem Windows und Windows-Komponenten, Office, Azure, .NET und Visual Studio, Active Directory, Copilot Studio, Dynamics, Exchange, Teams, OpenSSH, Remote Desktop, SQL Server, Windows Hello und Defender.

Wichtigste Punkte:

• 2 Schwachstellen werden aktiv in the wild ausgenutzt: Windows Update Stack (CVE-2026-81963) und Windows ALPC (CVE-2026-85880).
• Mit 972 neuen Microsoft-CVEs bzw. insgesamt 997 CVEs einschließlich externer und Chromium-Bugs erreicht der September-Release einen neuen Rekordwert.
• 114 der neuen CVEs sind als Kritisch eingestuft.
• ZDI identifiziert 20 potenziell „wormable“ Schwachstellen, bei denen ein unauthentifizierter Angreifer aus der Ferne Code ausführen kann, ohne dass eine Benutzerinteraktion erforderlich ist.

Kritischste Microsoft-Schwachstellen:

• CVE-2026-81963 – Windows Update Stack EoP, CVSS 7.8 — ⚠️ Aktiv in the wild ausgenutzt. Ermöglicht eine Rechteausweitung über den Windows Update Stack. ZDI vermutet, dass der Bug mit einer Code-Execution-Schwachstelle kombiniert werden könnte, um Malware oder Ransomware zu verbreiten. Schnelles Patchen empfohlen.
• CVE-2026-85880 – Windows Advanced Local Procedure Call (ALPC) EoP, CVSS 7.8 — ⚠️ Aktiv in the wild ausgenutzt. Erfordert Benutzerinteraktion und kann sich beispielsweise in Dokumenten, PDFs oder anderen Anhängen verbergen. Zeitnah patchen.
• CVE-2026-55007 – Microsoft Exchange Server RCE, CVSS 8.1 — Ein Remote-Angreifer kann ohne Authentifizierung Code auf einem betroffenen Exchange-Server ausführen, indem er eine E-Mail mit einem manipulierten Visio-Anhang sendet. Die Codeausführung erfolgt bereits bei der Verarbeitung der E-Mail durch den Server; die Preview Pane muss nicht geöffnet werden. Exchange-Updates mit hoher Priorität ausrollen.
• CVE-2026-80097 – Microsoft Authenticator EoP, CVSS 8.6 — Erfordert eine manipulierte Android-App und Benutzerinteraktion während des Authentifizierungsprozesses. Bei erfolgreicher Ausnutzung kann ein Angreifer Authentifizierungstoken erlangen und auf Ressourcen mit den Berechtigungen des betroffenen Nutzers zugreifen. Besonders relevant für Unternehmen mit vielen Android-Nutzern.
• CVE-2026-69465 – Microsoft Office SharePoint RCE, CVSS 8.8 — Eine von 17 SharePoint-Schwachstellen in diesem Release, von denen vier Codeausführung ermöglichen. Ein authentifizierter Angreifer kann eine manipulierte Seite einreichen und eine Sicherheitsprüfung umgehen, sodass der Server Code aus einem vom Angreifer kontrollierten Dateisystem lädt. Internet-erreichbare SharePoint-Server schnell aktualisieren.
• CVE-2026-65669 – Microsoft SQL Server EoP, CVSS 9.6 — Eine von mehr als 60 SQL-Server-Schwachstellen im September-Release. Der Angriff erfordert, dass ein Nutzer speziell manipulierte Anweisungen an SQL Copilot in SQL Server Management Studio übermittelt. Bei erfolgreicher Ausnutzung erhält der Angreifer Zugriff auf die Datenbank mit den Berechtigungen des Nutzers.
• CVE-2026-69525 – Remote Desktop Services RCE, CVSS 9.8 — Remote und ohne Authentifizierung über eine Use-after-free-Schwachstelle ausnutzbar. Microsoft setzt einen Angreifer im Netzwerk voraus. Aufgrund der weiten Verbreitung von RDP empfiehlt ZDI dennoch, den Patch schnell zu testen und auszurollen.

Besonders auffällig: 20 potenziell „wormable“ Schwachstellen

ZDI identifiziert in diesem Monat 20 Schwachstellen, die als potenziell wurmfähig eingestuft werden können. In diesen Fällen kann ein nicht authentifizierter Angreifer aus der Ferne Code ausführen, ohne dass eine Benutzerinteraktion erforderlich ist. Betroffen sind unter anderem DHCP Server, Active Directory Domain Services, DNS Server, SMB Client, Netlogon, IP Helper, Internet Connection Sharing, SSTP, Failover Cluster, Message Queuing und der Reliable Multicast Transport Driver.