September-Patchday: Microsoft schließt kritische Zero-Day-Lücke in Windows Update

Microsoft hat die September-Updates für Windows, Office und andere Produkte freigegeben. Der Patchday beseitigt insgesamt 79 Schwachstellen, von denen sieben als kritisch eingestuft sind. Darüber hinaus gibt es insgesamt fünf Zero-Day-Lücken, wobei Anfälligkeiten bereits aktiv von Cyberkriminellen ausgenutzt werden.

Als besonders schwerwiegend gilt eine kritische Lücke in Windows Update, die laut Microsoft bereits ausgenutzt wird. Das Unternehmen beschreibt die Anfälligkeit mit der Kennung CVE-2024-43491 als Use-after-free-Bug im Servicing Stack. Unbefugte sind in der Lage, bestimmte Sicherheitsupdates zu entfernen, die bis einschließlich August 2024 veröffentlicht wurden, um Systeme angreifbar zu machen.

Allerdings sind ausschließlich ältere Systeme von Windows 10 betroffen, und zwar Version 1507, die noch als Windows 10 Enterprise 2015 LTSB und Windows 10 IoT Enterprise 2015 LTSB unterstützt wird. Bei diesen Systemen muss zuerst das Servicing-Stack-Update KB5043936 und anschließend das September-Sicherheitsupdate KB5043083 installiert werden, um das Loch zu stopfen.

Als kritisch stuft Microsoft außerdem Anfälligkeiten im Azure Stack Hub, den Azure Web Apps, SharePoint Server und Windows NAT ein. Sie erlauben unter Umständen das Einschleusen und Ausführen von Schadcode aus der Ferne, und zwar bei allen unterstützten Versionen von Windows 10, 11 und Windows Server.

Weitere Löcher werden in Windows TCP/IP, SQL Server, Windows Installer, PowerShell, Mark of the Web, Dynamics, Windows-Netzwerkvirtualisierung, Microsoft-Streaming-Dienst, Microsoft-Grafikkomponente und im Remotedesktop-Lizensierungsdienst gestopft. Außerdem sind die MSHTML-Plattform, Visio, Excel, SharePoint, Power Automate, Outlook für iOS und das Windows Admin Center angreifbar.

Die Patches verteilt Microsoft unter anderem über Windows Update, die Windows Server Update Services und den Microsoft Update Catalog. Für Windows 10 und Windows 11 stehen sie wie immer als kumulative Updates zum Download bereit.