Microsoft: Über 80 Sicherheitslücken im September-Update geschlossen
Microsoft schließt 80 Sicherheitslücken im September-Update, darunter neun kritische Schwachstellen und zwei bereits bekannte Zero-Day-Lücken in HPC Pack und NTLM.
Microsoft hat am Dienstag sein monatliches Sicherheitsupdate veröffentlicht und dabei mehr als 80 Schwachstellen in seiner Software-Palette behoben. Neun Lücken werden als „kritisch“ eingestuft, darunter zwei bereits öffentlich bekannte Zero-Day-Schwachstellen. Cybersicherheits-Experten raten Administratoren zu sofortiger Installation.
Das September-Update konzentriert sich vor allem auf sogenannte Elevation of Privilege (EoP)-Schwachstellen, die fast die Hälfte aller Korrekturen ausmachen. Betroffen sind Windows, Microsoft Office, Azure, Windows Hyper-V und SQL Server. Die schwerwiegendste Lücke findet sich im Microsoft High Performance Compute (HPC) Pack und erhält eine CVSS-Bewertung von 9,8 von 10 Punkten.
Kritische Lücken in HPC und NTLM
Die gefährlichste Schwachstelle trägt die Bezeichnung CVE-2025-55232 und ermöglicht Remote-Code-Ausführung im Microsoft HPC Pack. Sicherheitsforscher warnen vor einem möglichen „wurmartigen“ Verhalten: Ein nicht authentifizierter Angreifer könnte Code auf betroffenen Systemen ausführen, ohne dass Nutzerinteraktion erforderlich ist. Die Lücke könnte sich schnell zwischen verwundbaren Servern ausbreiten.
Ebenfalls brisant: CVE-2025-54918, eine kritische Elevation of Privilege-Schwachstelle im Windows New Technology LAN Manager (NTLM). Mit einer CVSS-Bewertung von 8,8 könnte ein bereits authentifizierter Angreifer seine Berechtigung auf SYSTEM-Level anheben und damit vollständige Kontrolle über ein System erlangen. Microsoft hat damit zum zweiten Mal in Folge eine kritische NTLM-Lücke geschlossen.
Zero-Day-Lücken bereits öffentlich bekannt
Zwei der behobenen Schwachstellen waren bereits öffentlich bekannt, bevor Microsoft sie schließen konnte. CVE-2025-55234 betrifft das Windows Server Message Block (SMB)-Protokoll und könnte Relay-Angriffe ermöglichen. Microsoft weist darauf hin, dass das Patch allein nicht ausreicht Administratoren erhalten zusätzliche Audit-Funktionen, um ihre Systeme gegen solche Angriffe zu härten.
Ungewöhnlich dabei: Der Softwarekonzern betont, dass das reine Einspielen von Updates nicht mehr genügt. Stattdessen müssen Administratoren aktiv ihre Umgebungen überwachen und konfigurieren.
BitLocker und Hyper-V im Fokus
Besondere Aufmerksamkeit verdienen auch Korrekturen für BitLocker, Microsofts Festplattenverschlüsselung. Zwei als „wichtig“ eingestufte Use-after-free-Schwachstellen (CVE-2025-54911 und CVE-2025-54912) könnten lokalen Angreifern helfen, ihre Berechtigung zu erweitern und möglicherweise die Verschlüsselung zu umgehen.
Für Virtualisierungsumgebungen bringt das Update kritische Korrekturen in Windows Hyper-V. Lücken wie CVE-2025-55224 und CVE-2025-53800 könnten es Angreifern ermöglichen, aus einer virtuellen Maschine auszubrechen und beliebigen Code auf dem Host-System auszuführen.
Mehr Schwachstellen als im Vorjahr
Die hohe Zahl der Elevation of Privilege-Schwachstellen setzt einen Jahrestrend fort. Laut Dustin Childs von Trend Micros Zero Day Initiative hat Microsoft bereits etwa 100 Schwachstellen mehr veröffentlicht als zum gleichen Zeitpunkt 2024. Das deutet auf eine intensivere Suche nach Sicherheitslücken hin.
Installationsprobleme nach Update
Nach der Veröffentlichung meldeten Nutzer Installationsfehler beim Windows 11-Update (KB5065426). Verschiedene Fehlercodes wie 0x800F0991 und 0x800F081F traten auf. Außerdem bestätigte Microsoft Verbindungsprobleme mit älteren SMBv1-Freigaben ein Protokoll, von dessen Nutzung das Unternehmen ohnehin abrät.
Anzeige: Passend zu den aktuellen Installationsproblemen: Halten Sie einen startfähigen USB?Stick bereit, um Windows 11 im Notfall zu reparieren oder neu aufzusetzen. Ein kostenloser Schritt?für?Schritt?Ratgeber erklärt, wie Sie den Windows?11?Boot?Stick korrekt erstellen und sicher einsetzen ideal auch für Einsteiger. Jetzt den Gratis?Report Windows 11 Boot?Stick erstellen sichern
Positiv: Das September-Update behebt ein Problem aus den August-Patches, das unerwartete Benutzerkontensteuerung-Eingabeaufforderungen verursachte. Administratoren sollten die neuen Updates vor der flächendeckenden Verteilung in kontrollierten Umgebungen testen.
