Microsoft, Google und Apple: Sicherheitsupdates für 260 Schwachstellen
Tech-Konzerne veröffentlichen beispiellose Sicherheitsupdates gegen aktiv genutzte Zero-Day-Lücken. US-Behörde CISA warnt vor neuer Supply-Chain-Malware, die Entwickler-Credentials bedroht.
Tech-Giganten schlagen Alarm: Über 80 kritische Lücken allein bei Microsoft gepatcht.
Die vergangene Woche brachte eine beispiellose Welle von Sicherheitsupdates der größten Technologiekonzerne. Microsoft veröffentlichte Patches für mehr als 80 Schwachstellen, Google schloss über 100 Android-Lücken und Apple aktualisierte seine gesamte Produktpalette. Gleichzeitig warnte die US-Cybersicherheitsbehörde CISA vor einer neuen Supply-Chain-Attacke.
Was diese geballte Update-Offensive besonders beunruhigend macht: Mehrere der gepatchten Schwachstellen werden bereits aktiv von Cyberkriminellen ausgenutzt. Experten sprechen von einem „nie dagewesenen Wettrüsten“ zwischen Softwareherstellern und Angreifern.
Microsoft patcht zwei aktiv genutzte Zero-Day-Lücken
Microsofts September-Update war ein Mammutprojekt: 81 offizielle Schwachstellen, von Sicherheitsforschern werden jedoch bis zu 176 Lücken in Open-Source-Komponenten gezählt. Darunter befanden sich zwei bereits bekannte Zero-Day-Schwachstellen – Sicherheitslücken, die Angreifer ausnutzen, bevor ein Patch verfügbar ist.
Besonders kritisch: CVE-2025-55234, eine Schwachstelle im Windows SMB-Server, die Angreifern erweiterte Systemrechte verschaffen kann. Die zweite Zero-Day-Lücke CVE-2024-21907 betrifft Microsoft SQL Server und ermöglicht Denial-of-Service-Attacken.
Neun der gepatchten Schwachstellen stufte Microsoft als „kritisch“ ein. Sie ermöglichen Remote Code Execution – Angreifer können beliebigen Code auf fremden Rechnern ausführen. Betroffen sind Windows, Office, Hyper-V und Azure-Produkte.
Android und iOS: Mobile Geräte im Visier
Google veröffentlichte zeitgleich Patches für über 100 Android-Schwachstellen. Zwei davon werden laut Google bereits „begrenzt und gezielt“ ausgenutzt: CVE-2025-38352 und CVE-2025-48543. Beide ermöglichen es Malware, tiefere Systemrechte zu erlangen.
Anzeige: Übrigens: Wer sein Android‑Smartphone jetzt gezielt absichern möchte, sollte die 5 wichtigsten Schutzmaßnahmen kennen. Viele Nutzer übersehen gerade bei WhatsApp, Online‑Banking und PayPal einfache Schritte, die Datenklau verhindern. Ein kostenloser Ratgeber erklärt Schritt für Schritt, wie Sie ohne teure Zusatz‑Apps Berechtigungen prüfen, Updates automatisieren und Ihr Gerät spürbar sicherer machen. Jetzt das kostenlose Android‑Sicherheitspaket anfordern
Apple aktualisierte am 15. September seine gesamte Produktpalette mit iOS 26 und iPadOS 26. Dutzende Sicherheitslücken in Kernel, WebKit und Systemdiensten wurden geschlossen. Das Unternehmen arbeitet an einem verbesserten Update-System, das Zero-Day-Bedrohungen automatisch im Hintergrund bekämpfen soll.
Kann die Automatisierung die Oberhand im Cyber-Wettrüsten zurückgewinnen?
CISA warnt vor „Shai-Hulud“-Wurm
Die US-Cybersicherheitsbehörde CISA schlug parallel Alarm: Ein sich selbst replizierender Wurm namens „Shai-Hulud“ infizierte über 500 Softwarepakete im npm-Ökosystem. Die Malware stiehlt API-Schlüssel und Zugangsdaten. CISA fordert alle Organisationen auf, ihre Entwickler-Credentials sofort zu erneuern.
Zusätzlich patcht Cisco eine weitere Zero-Day-Lücke in seiner IOS-Software, die bereits ausgenutzt wird. Eine Google Chrome-Schwachstelle landete auf CISAs Liste der „Known Exploited Vulnerabilities“ – Bundesbehörden müssen bis Anfang Oktober patchen.
Wettrüsten ohne Ende
Die aktuelle Patch-Flut zeigt: Das Wettrüsten zwischen Softwareherstellern und Cyberkriminellen erreicht neue Dimensionen. Zero-Day-Schwachstellen in Android, Cisco IOS und Google Chrome beweisen, wie schnell Angreifer neue Entdeckungen ausnutzen.
Besonders begehrt sind Schwachstellen, die erweiterte Systemrechte oder Remote-Code-Ausführung ermöglichen. Der „Shai-Hulud“-Wurm verdeutlicht zudem die wachsende Bedrohung durch Supply-Chain-Angriffe: Ein kompromittiertes Element kann unzählige nachgelagerte Systeme infizieren.
Die Lösung liegt in der Automation. Apples „Background Security Improvements“ zeigen den Weg: Updates müssen nahtlos und automatisch erfolgen, um Angreifern keine Chance zu geben. Für Unternehmen wird professionelles Patch-Management zur Überlebensfrage.
Die Botschaft ist klar: Wer nicht innerhalb von Stunden oder Tagen nach Veröffentlichung patcht, wird zum bevorzugten Ziel der Cyberkriminellen.
