FLOWKI · NEWSROOM
Microsoft und Google schließen Rekordlücken: 974 Windows-Flaws und siebte Chrome-Zero-Day
ki-pentesting

Microsoft und Google schließen Rekordlücken: 974 Windows-Flaws und siebte Chrome-Zero-Day

ki-pentesting8 unabhängige QuellenFlowKI Newsroom

Rekordbruch bei Microsoft: 974 Sicherheitslücken in einem Patch-Zyklus

Microsoft hat am 9. September 2026 die größte Patch-Welle seiner Geschichte veröffentlicht. Mit 974 behobenen Schwachstellen übertrifft das Unternehmen laut Dark Reading seinen bisherigen Rekord um ein Vielfaches. Unter den Fixes befinden sich zwei Sicherheitslücken in Windows, die bereits aktiv von Angreifern ausgenutzt werden. Laut Krebs on Security handelt es sich um kritische Fehler, die höchste Priorität genießen und sofortige Installation erfordern. Microsoft bestätigt zudem, dass mindestens 58 weitere CVEs in der Veröffentlichung als besonders exploitanfällig bewertet wurden – ein Zeichen dafür, dass Threat Actors bereits anfangen, den Patch-Datensatz zu analysieren.

Besondere Aufmerksamkeit verdient die Entdeckung eines neuen Exploit-Kits namens BlueMoon, das laut The Hacker News von mindestens vier verschiedenen Spionage-Gruppen innerhalb einer Woche eingesetzt wurde. BlueMoon verkettet mehrere Sicherheitslücken in Windows miteinander, um ein echtes Perimeter-Durchbruch-Szenario zu schaffen. Die koordinierte Nutzung durch unterschiedliche Threat-Actor-Gruppen deutet darauf hin, dass dieses Toolkit entweder eine Untergrund-Währung geworden ist oder ein State-Sponsored-Entwicklungsprodukt darstellt, das über mehrere Kanäle verteilt wird. Die betroffenen Windows-Versionen reichen von älteren Servern (Windows Server 2016/2019) bis zu aktuellen Client-Systemen wie Windows 11, weshalb eine flächendeckende Aktualisierung unvermeidbar ist.

Parallel dazu veröffentlichte Google auf Basis des neuen Zweiwochen-Update-Zyklus Chrome Version 153, die insgesamt 230 Sicherheitsfixes enthält. SecurityWeek meldet, dass Google dabei seine siebte Zero-Day-Schwachstelle des Jahres 2026 patcht – ein Durchschnitt von deutlich über einer Pro-Woche. Das betroffene Sicherheitsloch sitzt im Chrome V8 JavaScript-Engine und ermöglicht Code-Ausführung innerhalb der Browser-Sandbox, wodurch eine zweistufige Exploitation notwendig wird. Das Loch wurde bereits in der freien Wildbahn ausgenutzt, bevor Google das Patch verfügbar machte.

DACH-Unternehmen: Dringend handlungsbedürftig – DSGVO-Konsequenzen drohen

Die Patch-Flut trifft den deutschsprachigen Mittelstand zu einem kritischen Zeitpunkt. Deutsche und österreichische Unternehmen unterliegen durch die DSGVO einer unmittelbaren Verpflichtung, sicherheitsrelevante Software-Updates innerhalb angemessener Fristen einzuspielen. Die Bundesnetzagentur (Regulierungsbehörde für Telekommunikation und Post) und das BSI (Bundesamt für Sicherheit in der Informationstechnik) haben bereits mehrfach klargemacht, dass ausstehende Kritische Patches als fahrlässige Sicherheitsverwaltung ausgelegt werden können.

Aus Pentest-Perspektive ist die aktuelle Situation besonders kritisch. Die beiden von Microsoft bestätigten, aktiv ausgebeuteten Windows-Lücken werden innerhalb von Tagen in Standard-Exploit-Tools wie Metasploit integriert sein. Pentester und Sicherheitsteams müssen davon ausgehen, dass in Kürze automatisierte Scans und Vulnerability-Scanner diese Löcher in Echtzeit gegen ungepatchtete Systeme durchprobieren werden. Wer als DACH-Unternehmen bis Ende nächster Woche nicht patcht, wird in jeder Red-Team-Übung oder externen Penetrationsprüfung sofort als ausgenutzt gekennzeichnet. Das wiederum kann zu Compliance-Verstößen führen, insbesondere bei Unternehmen, die unter kritische Infrastruktur oder NIS-2-Direktive fallen.

Zudem richtet sich die 974er-Patch-Serie bewusst auch gegen KI-Infrastrukturen: Mehrere der behobenen Flaws betreffen Container-Technologien und Server-Virtualisierung, die gerade im Kontext von KI-Deployment (LLM-Inferencing, Vector-DB-Hosting) massiv ausgerollt werden. Ein Unternehmen, das KI-Modelle on-premises deployed und seine Windows-Server nicht aktualisiert hat, riskiert nicht nur Datenlecks, sondern auch Model-Theft-Szenarien.

Chrome 153 und der neue Zweiwochen-Zyklus bedeuten gleichzeitig, dass Unternehmen ihre Browser-Verwaltung verschärfen müssen. Der alte 4-Wochen-Zyklus bot Breathing Room für Tests; zwei Wochen erlauben kaum mehr differenzierte Rollout-Planung.

Take-Away: Parallele Patchstrategie und Incident-Readiness erforderlich

Für DACH-IT-Verantwortliche gibt es nur eine rationale Reaktion: Verschiebe nicht länger Patch-Management in den "nächsten Monat". Die kombinierte Welle aus 974 Windows-CVEs und sieben Chrome-Zero-Days in diesem Jahr signalisiert, dass wir in einer Exploitation-Phase sind, in der Threat Actors systematisch gegen Standard-Endpoints gehen. Ein bewährter Handgriff ist ein paralleles Patchmanagement: Kritische CVEs (wie die zwei aktiv ausgebeuteten Windows-Flaws) werden in einer beschleunigten Spur innerhalb von 48 Stunden auf Pilotgruppen deployed, während die restlichen 972 nach Severity in klassischen Zeitfenstern rollen. Das klingt aufwändig, ist aber weniger kostspielig als ein Ransomware-Incident, der direkt auf ausgebeutete Zero-Days zurückgeht. Lies dazu auch unseren Leitfaden zu KI-Pentesting und konkret zum Aufbau von Sicherheit in AI-Infrastrukturen – denn viele dieser neuen Patches sind auf KI-relevante Isolation ausgelegt.

Quellen