Die Lücke Steckte Im Werkzeug, Das Sie Schließen Sollte

Der Fix Kommt Durch Das, Was Kaputt War

Microsofts Patchday am 8. September schloss CVE-2026-81963, eine Rechteausweitungslücke im Windows Update Stack durch fehlerhafte Link-Auflösung, genau der Komponente, die jeden Sicherheitspatch an einen Windows-Rechner liefert. Ein lokal authentifizierter Angreifer mit bereits geringen Rechten kann sie ohne jede Nutzerinteraktion ausnutzen, um volle SYSTEM-Rechte zu erlangen. CISA bestätigte aktive Ausnutzung und nahm die Lücke am 8. September in ihren Known Exploited Vulnerabilities-Katalog auf, mit einer Frist zum 22. September gemäß Binding Operational Directive 26-04.

Seit 2022 wurden sieben Rechteausweitungslücken im Windows Update Stack an Patchdays geschlossen. CVE-2026-81963 ist die erste dieser sieben, die als Zero-Day in freier Wildbahn ausgenutzt wurde, das heißt, Angreifer nutzten sie bereits, bevor es Microsofts Fix überhaupt gab, nicht danach. Microsoft bewertet sie mit 7,8 von 10, als Wichtig statt Kritisch, derselben Stufe, die routinemäßigen lokalen Rechteausweitungslücken zugewiesen wird, die nie real ausgenutzt werden.

Man Kann Den Kanal Nicht Isolieren, Der Einen Repariert

Bei den meisten ausgenutzten Schwachstellen hat ein Sicherheitsteam eine Notmaßnahme, während ein Patch getestet wird: eine Funktion abschalten, einen Port sperren, einen Dienst isolieren. Der Windows Update Stack lässt diese Option nicht zu. Wer die angegriffene Komponente abschaltet oder einschränkt, schaltet damit auch den Mechanismus ab, den eine Organisation braucht, um genau diesen Fix zu erhalten, und jeden folgenden. Ein Team, das diesen Patch, wie bei Sicherheitsupdates mit unbekannten Nebenwirkungen üblich, erst langsamer ausrollen wollte, verbrachte genau diese Wartezeit damit, die verwundbare Komponente völlig ungeschützt laufen zu lassen.

Microsofts eigene Komponente Windows Advanced Local Procedure Call, ALPC, trug im selben Release eine zweite aktiv ausgenutzte Zero-Day-Lücke, CVE-2026-85880, ebenfalls mit 7,8 bewertet und ebenfalls mit derselben Frist zum 22. September in CISAs Katalog aufgenommen. Seit 2022 wurden sechzehn ALPC-Schwachstellen geschlossen, doch dies ist die erste in freier Wildbahn ausgenutzte, die seit mehr als drei Jahren, seit April 2023, in einem Patchday-Release auftaucht. Zwei strukturell unterschiedliche Komponenten, beide nahe an der eigenen Vertrauensgrenze der Maschine, beide bewaffnet, bevor Microsofts Fix irgendjemanden erreichte.

Was Das Für Den Patch-Zyklus Bedeutet

Eine Herstellereinstufung als Wichtig lässt einen Patch normalerweise hinter dringlicherer Arbeit zurückstehen. CISAs Aufnahme beider Lücken in ihren Known Exploited Vulnerabilities-Katalog existiert genau, um diesen Reflex zu durchbrechen: KEV-Einträge entstehen aus bestätigter Ausnutzung, nicht aus der eigenen Priorisierung eines Herstellers, und die Binding Operational Directive 26-04 verlangt von Bundesbehörden, und damit implizit von jeder Organisation, die sich an CISA-Leitlinien für die eigene Patch-Priorisierung orientiert, einen KEV-Eintrag unabhängig von seiner CVSS-Stufe als dringend zu behandeln.

Für Organisationen mit gestaffelten Rollout-Ringen ist der September-Patchday der Beleg dafür, die Lücke zwischen Release und vollständiger Verteilung gerade bei allem zu verkürzen, was die Update-Pipeline selbst betrifft, denn eine Schwachstelle im Mechanismus, der irgendwann den eigenen Fix liefert, kann man sich nicht leisten ungepatcht laufen zu lassen, während man sie auf einem Testring bewertet. Die praktische Lehre ist dieselbe, die CISAs KEV-Katalog vermitteln soll: die bestätigte Ausnutzungsliste direkt in die Patch-Priorisierung einbeziehen, statt der eigenen Einstufung eines Herstellers zu vertrauen, was warten kann.

Servola Journal

Wir machen das für alle, die versuchen mit dem Schritt zu halten, was die Technologie mit unserem Leben macht. Für die Menschen, die sie bauen, und für die Menschen, denen sie widerfährt. Das Servola Journal existiert, damit das, was wir lernen, allen von ihnen gehört.

Niemand bezahlt uns dafür. Keine Werbung, keine Bezahlschranke, kostenlos für alle. Wir glauben einfach, dass das Verstehen dessen, was mit uns allen geschieht, nicht davon abhängen sollte, wer es sich leisten kann, dafür zu bezahlen.

Wenn es dir heute etwas gebracht hat, sag uns, dass wir weitermachen sollen. Folge uns, hinterlasse ein Like oder schreibe einen positiven Kommentar. Wir lesen jeden einzelnen, und sie sind es, die uns antreiben.

Weiterlesen: Die Hälfte von Chromes sechs Zero-Days 2026 traf dieselbe Engine  |  Chromes nächster Zero-Day geht nach Brüssel