Microsoft hat im September eine rekordverdächtige Anzahl von Sicherheitslücken behoben. Insgesamt wurden etwa 972 Schwachstellen geschlossen, von denen 112 als kritisch eingestuft sind. Diese umfassende Patch-Veröffentlichung erfolgt vor dem Hintergrund wachsender Bedenken hinsichtlich einer erwarteten Welle von KI-gestützten Cyberangriffen.
Industrie reagiert auf neue Bedrohungslandschaft
Die aktuelle Veröffentlichung übertrifft frühere Rekorde deutlich. Erst vor zwei Monaten hatte Microsoft 570 Schwachstellen behoben, im Vormonat waren es 620. Auch andere Technologieunternehmen wie Google haben in den letzten Monaten eine Rekordzahl an Sicherheitslücken gemeldet. Vor zwei Wochen warnten OpenAI, Anthropic, Amazon Web Services, Google, Microsoft und über 100 weitere Unternehmen und Organisationen in einem offenen Brief vor einem sich verengenden Zeitfenster für die Behebung von Schwachstellen, bevor KI-gestützte Angriffe diese aktiv ausnutzen könnten. Die Branche nimmt diese Bedrohung ernst und veröffentlicht eine beispiellose Menge an Software-Updates.
Dustin Childs, ein Forscher der Zero Day Initiative, bezeichnet diese Zunahme als die „neue Normalität“. Er warnt, dass trotz dieser Anstrengungen der potenzielle Schaden durch KI-unterstützte Angriffe erheblich sein könnte. Childs merkte an, dass die Fähigkeit von Sicherheitsexperten, Fehler in diesem Tempo zu beheben, bemerkenswert sei, die Entdeckung von Schwachstellen durch KI jedoch keine Anzeichen einer Verlangsamung zeige. Bisher sei jedoch kein korrelierender Anstieg aktiver Angriffe zu beobachten.
Details der September-Updates
Die genaue Zählung der behobenen Schwachstellen ist komplex, da einige bereits adressiert wurden oder nicht-Microsoft-Produkte betrafen. Laut Childs’ Zählung wurden bei der jüngsten Veröffentlichung 972 Schwachstellen behoben; inklusive der Portierung von Chromium-Fixes für den Edge-Browser erhöht sich die Zahl auf 997. Von den neuen Schwachstellen sind 112 als kritisch eingestuft, der Rest als wichtig. In diesem Jahr hat Microsoft bereits 2.760 Schwachstellen behoben, mehr als doppelt so viele wie im gesamten Vorjahr. Bei diesem Tempo könnte Microsoft bis Jahresende mehr Fehler behoben haben als in den Jahren 2023, 2024 und 2025 zusammen.
Zu den bemerkenswerten Schwachstellen in dieser Veröffentlichung gehören zwei sogenannte Zero-Day-Lücken, CVE-2026-81963 und CVE-2026-85880, die den Windows-Update-Dienst bzw. die Windows Advanced Local Procedure betreffen. Informationen über die Angreifer oder das Ausmaß der Ausnutzung sind derzeit nicht öffentlich. Der Forscher identifizierte zudem mehr als 20 wurmfähige Schwachstellen, die keine Benutzerinteraktion für ihre Ausnutzung erfordern und sich selbstständig von Gerät zu Gerät verbreiten können.
Kontroverse um KI-gestützte Schwachstellensuche
Die Effektivität der KI-gestützten Schwachstellensuche wird kontrovers diskutiert. Kritiker hinterfragen die Kosten und die hohe Zahl von Fehlalarmen (False Positives) beim Einsatz von Large Language Models (LLMs). Sie bezweifeln auch die Motive von Unternehmen, die Milliarden in die Entwicklung der KI-Systeme investieren, die nun zur Fehlererkennung eingesetzt werden.
Das Gegenargument ist, dass die Ergebnisse – die Entdeckung von Rekordzahlen schwerwiegender Fehler branchenweit durch KI-gestützte Suche – für sich sprechen. Mozilla gab beispielsweise im Mai bekannt, dass seine Forscher mit dem System Mythos 271 Schwachstellen gefunden haben, fast ohne Fehlalarme.
Die langfristige Wirksamkeit der KI-unterstützten Fehlersuche wird sich erst in einem Jahr oder länger zeigen. Aktuell ist jedoch klar, dass die Schwachstellenentdeckung eine neue, beispiellose Phase erreicht hat. Skeptiker, die diese Möglichkeit unterschätzen, tun dies auf eigenes Risiko.
Thema: Microsoft. Quelle/Inspiration: Ars Technica.