Microsoft schließt 86 Sicherheitslücken mit September-Update
Zwei brisante Zero-Day-Lücken endlich gepatcht
Microsoft hat diese Woche sein großes September-Sicherheitsupdate veröffentlicht und dabei zwischen 81 und 86 Schwachstellen in seinem gesamten Produktportfolio behoben. Besonders brisant: Zwei bereits öffentlich bekannte Zero-Day-Lücken und neun als kritisch eingestufte Sicherheitsfehler wurden geschlossen.
Obwohl derzeit keine aktive Ausnutzung der Schwachstellen bekannt ist, alarmiert die öffentliche Bekanntgabe der Zero-Days Systemadministratoren weltweit. Das Update umfasst weitverbreitete Software wie Windows, Microsoft Office, SQL Server und Windows Hyper-V.
Anzeige: Apropos Windows-Updates: Halten Sie für den Notfall einen startfähigen USB‑Stick bereit. Der kostenlose Ratgeber zeigt Schritt für Schritt, wie Sie einen Windows‑11‑Boot‑Stick erstellen und bei defekten Systemen oder Neuinstallationen richtig einsetzen. Ideal, um bei Update-Problemen schnell wieder arbeitsfähig zu sein – auch für Einsteiger. Jetzt den Gratis‑Guide zum Windows‑11‑Boot‑Stick sichern
Im Mittelpunkt stehen zwei Zero-Day-Schwachstellen, die bereits vor der Verfügbarkeit eines Patches öffentlich bekannt waren. CVE-2025-55234 betrifft das Windows Server Message Block (SMB) Protokoll und ermöglicht Angreifern ohne Authentifizierung sogenannte Relay-Angriffe. Diese können zu einer Rechteerweiterung im System führen.
Die zweite Zero-Day-Lücke CVE-2024-21907 ist besonders bemerkenswert: Sie wurde bereits im Januar 2024 in der JSON-Bibliothek Newtonsoft.Json entdeckt, aber erst jetzt von Microsoft in SQL Server gepatcht. Angreifer können durch manipulierte Daten Serviceausfälle verursachen. Diese Verzögerung verdeutlicht die komplexen Herausforderungen beim Sicherheitsmanagement von Drittanbieter-Komponenten.
Kritische Schwachstellen bedrohen Kernsysteme
Die neun kritischen Sicherheitslücken könnten größtenteils zu Remote Code Execution oder erheblicher Rechteerweiterung führen. Besonders gefährlich ist CVE-2025-54918 im Windows NTLM-System mit einem CVSS-Score von 8,8. Microsoft stuft eine Ausnutzung als „wahrscheinlicher“ ein – Angreifer könnten damit SYSTEM-Level-Zugriff erlangen.
Virtualisierungsadministratoren müssen sofort handeln: Drei kritische Lücken in Windows Hyper-V (CVE-2025-55224, CVE-2025-53799, CVE-2025-53800) könnten es Angreifern ermöglichen, aus virtuellen Maschinen auszubrechen und Code auf dem Host-System auszuführen.
Weitreichende Auswirkungen im Microsoft-Universum
Das Update zeigt die Vernetzung moderner IT-Umgebungen auf: Betroffen sind Windows-Kernkomponenten, TCP/IP-Stack und das NTFS-Dateisystem. CVE-2025-55232 im Microsoft High Performance Compute Pack erhält sogar einen extremen CVSS-Wert von 9,8.
Fast die Hälfte aller Patches betrifft Rechteerweiterungs-Schwachstellen – ein Indiz dafür, dass Angreifer verstärkt versuchen, nach einem ersten Einbruch tieferen Systemzugang zu erlangen.
Der Blick nach vorn: Schnelles Handeln gefragt
Sicherheitsexperten warnen: Obwohl derzeit keine aktive Ausnutzung bekannt ist, sollten die als „wahrscheinlicher ausnutzbar“ bewerteten Lücken höchste Priorität haben. Microsoft hat 2025 bereits etwa 100 Schwachstellen mehr gemeldet als im Vorjahr zur gleichen Zeit.
Anzeige: Wer im Zuge der Sicherheitsupdates den Umstieg auf Windows 11 planen möchte, findet hier eine stressfreie Schritt‑für‑Schritt‑Anleitung. Der kostenlose Report erklärt Installation, Daten‑ und Programmübernahme sowie die wichtigsten Neuerungen – damit der Wechsel ohne Risiko gelingt. Jetzt das Windows‑11‑Komplettpaket gratis anfordern
IT-Teams sollten das Update umgehend testen und ausrollen – besonders bei kritischer Serverinfrastruktur mit Hyper-V, SQL Server und Domain Controllern. Da Angreifer bekanntermaßen Patches analysieren, um Exploits zu entwickeln, schließt sich das Zeitfenster für Schutzmaßnahmen schnell.
