IT-Wochenrückblick KW 37/2026: Microsoft-Rekord-Patchday, Magento-Zero-Day (CVSS 10.0) & WatchGuard-Ransomware

Microsoft-Rekord-Patchday mit 974 Lücken und zwei aktiv ausgenutzten Windows-Zero-Days, ein kritischer Magento- und Adobe-Commerce-Zero-Day (CVSS 10.0) in Onlineshops und eine WatchGuard-Firewall-Lücke, die jetzt von Ransomware-Gruppen ausgenutzt wird

Die wichtigsten IT- und Sicherheitsthemen der Woche – kompakt und verständlich für kleine und mittlere Unternehmen sowie Privatanwender.

Liebe Leserinnen und Leser,

diese Woche stand ganz im Zeichen der Update-Pflege: Microsoft hat an seinem September-Patchday einen neuen Rekord aufgestellt und über 970 Lücken geschlossen – zwei davon werden bereits aktiv für Angriffe genutzt. Parallel machen Angreifer Tempo bei Onlineshops: Ein Zero-Day mit dem Höchstwert 10,0 in Magento und Adobe Commerce wird ausgenutzt, um Hintertüren in Shops zu hinterlegen – selbst in vollständig gepatchten. Und eine ältere WatchGuard-Firewall-Lücke wird jetzt gezielt von Ransomware-Gruppen missbraucht. Wir haben die drei wichtigsten Themen für Sie eingeordnet und die kompakten Quick News zusammengestellt.

Top 1: Microsoft-Patchday – Rekord mit 974 Lücken und zwei aktiv ausgenutzten Windows-Zero-Days

Am September-Patchday hat Microsoft so viele Sicherheitslücken geschlossen wie nie zuvor: insgesamt 974 Schwachstellen in Windows und weiteren Produkten. Zwei davon werden bereits aktiv ausgenutzt und wurden von der US-Behörde CISA am 8. September in ihren Katalog aktiv ausgenutzter Schwachstellen aufgenommen. Beide erlauben eine Rechteausweitung bis auf die höchste Systemebene (SYSTEM).

Die erste Lücke CVE-2026-85880 steckt im „Advanced Local Procedure Call“ (ALPC) von Windows – einem internen Kommunikationsdienst; über einen Speicherüberlauf kann ein Angreifer, der bereits mit geringen Rechten Code ausführt, aus der Sandbox ausbrechen und sich SYSTEM-Rechte verschaffen. Die zweite, CVE-2026-81963, betrifft den Windows-Update-Mechanismus selbst und hebt lokale Rechte ebenfalls auf SYSTEM-Ebene an. Zusätzlich stuft Microsoft mehrere Netzwerk-Lücken – unter anderem in DNS, DHCP und beim Anmeldedienst Netlogon – als besonders kritisch ein.

Solche Rechteausweitungs-Lücken sind selten der erste Schritt eines Angriffs, aber der entscheidende zweite: Wer sich per Phishing oder gestohlenem Passwort einen ersten Fuß ins System setzt, macht sich damit zum Administrator. Genau deshalb zählt hier zügiges Einspielen.

Was bedeutet das für Sie?

• Spielen Sie die September-Updates für Windows und Microsoft-Produkte zeitnah ein – priorisieren Sie Server und aus dem Internet erreichbare Dienste sowie die beiden aktiv ausgenutzten Lücken.
• Aktivieren Sie automatische Updates und starten Sie die Geräte nach der Installation neu, damit die Korrekturen tatsächlich wirksam werden – gerade bei durchlaufenden Rechnern und Servern.
• Testen Sie die Updates bei geschäftskritischen Systemen kurz in einer Kontrollgruppe, bevor Sie sie flächendeckend ausrollen, und stellen Sie sicher, dass ein aktuelles Backup vorliegt.

Top 2: Magento & Adobe Commerce – „StyleSmuggler“-Zero-Day (CVSS 10.0) in Onlineshops aktiv ausgenutzt

In Adobe Commerce und der weit verbreiteten Shop-Software Magento wird eine kritische Zero-Day-Lücke aktiv ausgenutzt. Die Schwachstelle CVE-2026-75650 (von den Entdeckern „StyleSmuggler“ genannt, Bedrohungswert 10,0 von 10) erlaubt es nicht angemeldeten Angreifern, aus der Ferne eigenen Code auf dem Shop-Server auszuführen. Betroffen sind praktisch alle aktuellen Versionen – bis hin zur neuesten Ausgabe.

Besonders heikel: Der Angriff läuft über das Vorlagen-System, mit dem der Shop zum Beispiel eine „Zahlung fehlgeschlagen“-Erinnerungsmail erzeugt. Der Schadcode wird bereits beim Zusammenbauen dieser E-Mail ausgeführt – niemand muss die Nachricht öffnen, und der Angriff gelingt selbst dann, wenn die Mail gar nicht zugestellt wird. Sicherheitsforscher beobachten die Ausnutzung seit dem 4. September; unter den ersten bestätigten Opfern waren vollständig gepatchte Shops.

Über die Lücke platzieren die Angreifer Hintertüren – eine in der Programmiersprache Rust geschriebene Schadsoftware sowie klassische „Web-Shells“, mit denen sie dauerhaften Zugriff behalten. Adobe hat am 7. September einen Notfall-Patch nachgeliefert; da bereits vorher angegriffen wurde, genügt das Update allein nicht, wenn ein Shop schon kompromittiert wurde.

Was bedeutet das für Sie?

• Betreiben Sie einen Magento- oder Adobe-Commerce-Shop? Spielen Sie den Notfall-Patch sofort ein bzw. lassen Sie ihn durch Ihre Agentur einspielen – unabhängig vom bisherigen Patch-Stand.
• Lassen Sie den Shop auf Anzeichen einer Kompromittierung prüfen: unbekannte Dateien, neu angelegte Administrator-Konten, veränderte Vorlagen oder auffällige Verbindungen nach außen.
• Wechseln Sie im Verdachtsfall Administrator-Passwörter und Schnittstellen-Schlüssel und ziehen Sie eine Wiederherstellung aus einem sauberen Backup in Betracht – ein reiner Patch entfernt bereits abgelegte Hintertüren nicht.

Top 3: WatchGuard-Firewall-Lücke wird jetzt von Ransomware-Gruppen ausgenutzt

Eine kritische Schwachstelle in WatchGuard-Firebox-Firewalls (CVE-2025-14733) wird nun aktiv von Ransomware-Gruppen ausgenutzt – die US-Behörde CISA hat das bestätigt. Die Lücke erlaubt es nicht angemeldeten Angreifern, aus der Ferne und mit geringem Aufwand eigenen Code auf der Firewall auszuführen. Firebox-Geräte sind gerade im Mittelstand als zentrale Firewall und VPN-Zugang weit verbreitet.

WatchGuard hatte bereits Ende 2025 vor der Lücke gewarnt und Updates bereitgestellt. Dennoch waren zwischenzeitlich über 100.000 Geräte offen aus dem Internet erreichbar, und selbst neun Monate später sind noch tausende ungepatcht. Eine Firewall am Netzübergang ist ein besonders lohnendes Ziel: Wer sie kontrolliert, steht direkt am Tor zum Firmennetz.

Der Fall zeigt ein bekanntes Muster: Ransomware-Gruppen greifen bevorzugt öffentlich bekannte, aber nicht überall gepatchte Lücken in Fernzugriffs- und Sicherheitsgeräten an. Der beste Schutz ist, solche Geräte konsequent aktuell zu halten und ihre Erreichbarkeit zu begrenzen.

Was bedeutet das für Sie?

• Prüfen Sie, ob Sie WatchGuard-Firebox-Geräte einsetzen, und bringen Sie die Fireware umgehend auf den aktuellen Stand – zuerst bei aus dem Internet erreichbaren Geräten.
• Schränken Sie den Zugriff auf die Verwaltungsoberfläche ein (nur aus dem internen Netz oder über gesicherte, bekannte IP-Bereiche) und schalten Sie nicht benötigte, offen erreichbare Dienste ab.
• Lassen Sie nach dem Update auf Auffälligkeiten prüfen (neue Konten, geänderte Regeln) und stellen Sie sicher, dass getestete Offline-Backups vorliegen – für den Fall der Fälle.

⚡ Quick News der Woche

• Cisco Secure Firewall Management Center aktiv angegriffen: Eine kritische Lücke (CVE-2026-20079, Bedrohungswert 10,0) erlaubt unangemeldeten Angreifern Root-Zugriff auf die Firewall-Verwaltung; laut Cisco Talos sind auch staatlich unterstützte Gruppen beteiligt. Verfügbare Updates sofort einspielen.
• CISA-Katalog erweitert (08.09.): Neben den beiden Windows-Zero-Days wurden weitere aktiv ausgenutzte Lücken aufgenommen – unter anderem in Adobe Commerce und in der Fernwartungs-Plattform N-able N-central. Fragen Sie Ihren IT-Dienstleister nach dem Patch-Stand.
• Phishing-Welle mit Steuer- und Bank-Bezug: Verbraucherzentrale und BSI warnen vor gefälschten Steuerbescheiden (ELSTER/BZSt, unter anderem „729 Euro“) sowie Bank-Phishing (Consorsbank, easybank „neue Zwei-Faktor-Anmeldung“). Nie über Links anmelden, im Zweifel offiziell rückversichern.
• Nachbeben Berlin-Datenleck: Nach dem Rhysida-Angriff auf die Berliner Landesverwaltung veröffentlichen die Täter Daten; das BSI warnt vor gezieltem Phishing und Erpressungsversuchen mit den erbeuteten Informationen. Bei unerwarteten Nachrichten besonders wachsam sein.
• Router im Visier: Sicherheitsforscher melden neu ausgenutzte Lücken in MikroTik-RouterOS, über die Angreifer Router kapern und als Sprungbrett ins Netz missbrauchen. Router-Firmware aktualisieren, Standard-Zugangsdaten ändern und den Fernzugriff aufs Gerät abschalten.

💡 Fazit & Empfehlung

Diese Woche dreht sich alles um eine einfache Wahrheit: Updates gewinnen das Rennen nur, wenn sie schnell eingespielt werden. Achten Sie auf drei Stellschrauben:

✓ Patchday ernst nehmen: Windows- und Microsoft-Updates zügig ausrollen, Geräte neu starten und automatische Updates aktivieren – die beiden aktiv ausgenutzten Lücken heben Angreifer direkt auf Administrator-Ebene.

✓ Onlineshops absichern: Magento und Adobe Commerce sofort patchen und auf Hintertüren prüfen – bei „StyleSmuggler“ waren selbst voll gepatchte Shops betroffen, ein Update allein räumt bereits abgelegte Web-Shells nicht weg.

✓ Fernzugriffs- und Netzgeräte härten: WatchGuard, Cisco und Co. aktuell halten, die Verwaltung nicht offen ins Internet stellen und getestete Offline-Backups vorhalten – genau diese Geräte nehmen Ransomware-Gruppen gezielt ins Visier.

Sprechen Sie uns an – wir prüfen gemeinsam, welche Ihrer Systeme betroffen sein könnten, und bringen Ihre IT auf einen sicheren Stand. Ihr Team von IT Navigator.

📚 Quellen

• Microsoft / SecurityWeek / Zero Day Initiative / security-insider: September-Patchday 2026 – 974 Lücken, aktiv ausgenutzte Zero-Days CVE-2026-85880 (ALPC) und CVE-2026-81963 (Windows Update), CISA-KEV-Aufnahme 08.09.2026
• Sansec / The Hacker News / SecurityWeek: Magento & Adobe Commerce „StyleSmuggler“ CVE-2026-75650 (CVSS 10.0) aktiv ausgenutzt seit 04.09., Rust-Backdoor & PHP-Web-Shell, Adobe-Hotfix 07.09.2026
• BleepingComputer / WatchGuard / CISA: WatchGuard Firebox CVE-2025-14733 jetzt in Ransomware-Angriffen ausgenutzt (unauthentifizierte RCE)
• Cisco Talos / BleepingComputer / Help Net Security: Cisco Secure FMC CVE-2026-20079 (CVSS 10.0) aktiv ausgenutzt (Root-Zugriff, auch staatliche Akteure)
• Verbraucherzentrale / BSI / borncity: Phishing-Wellen (ELSTER/BZSt, Consorsbank, easybank) und BSI-Warnung nach dem Rhysida-Angriff auf die Berliner Landesverwaltung; The Hacker News: MikroTik-RouterOS-Angriffe

👉 Letzte Woche verpasst? Hier geht’s zum vorherigen Wochenrückblick: Wochenrückblick KW 36/2026.

© IT Navigator · Wochenrückblick KW 37/2026 · Stand: 11.09.2026