Microsoft hat am 10. September 2019 seinen monatlichen Patchday veröffentlicht und schließt dabei kritische Sicherheitslücken in einer breiten Palette von Produkten. Besonders betroffen sind alle aktuellen Windows-10-Versionen sowie Windows Server, der Internet Explorer, SharePoint, Azure DevOps Server und ChakraCore.
Die kritischsten Lücken erlauben in mehreren Fällen Remotecodeausführung. Betroffen sind Windows 10 in den Versionen 1903, 1809, 1803, 1709 und 1703 sowie Windows Server 2019, 2016, 2012 R2, 2012, Windows 8.1, Windows 7 und die entsprechenden Server-Editionen. Microsoft stellt für jede Version ein eigenes kumulatives Update bereit; nach den Patches liegen die Build-Nummern für Windows 10 Version 1903 bei 18362.356, für Version 1809 bei 17763.737 und für Version 1803 bei 17134.1006.
Für Entwickler besonders relevant: Team Foundation Server und Azure DevOps Server 2019 sind ebenfalls mit einer als kritisch eingestuften Remotecodeausführungs-Lücke im September-Patchday verzeichnet. Gleiches gilt für ChakraCore, die JavaScript-Engine hinter Microsoft Edge und verschiedenen Windows-Anwendungen. Die Details zu diesen Lücken sind im Microsoft Security Response Center dokumentiert.
Visual Studio erhält in diesem Zyklus ein Update mit der Einstufung „hoch“ wegen Rechteerweiterungen, Patchinformationen stehen unter KB 4513696. Ebenfalls als hoch eingestuft werden Lücken in .NET Framework, .NET Core, ASP.NET Core und Microsoft Exchange Server 2016/2019 (DoS). Adobe Flash Player für Windows erhält ein eigenes kritisches Sicherheitsupdate, das über den Windows Update-Mechanismus verteilt wird. Visual Studio Code 1.38, kurz davor erschienen, ist vom September-Patchday nicht direkt betroffen.
Seit April 2017 ersetzt Microsoft die früheren Sicherheitsbulletins durch den zentralen Leitfaden für Sicherheitsupdates, der Filter- und Suchfunktionen für alle betroffenen Produkte bietet.