Microsoft Patchday schließt fast 1.000 Sicherheitslücken

Microsoft hat beim Microsoft Patchday September 2026 Sicherheitsupdates für nahezu 1.000 Schwachstellen veröffentlicht. Besonders dringlich sind zwei Windows-Lücken, die nachweislich bereits in realen Angriffen ausgenutzt werden.

Der ungewöhnlich große Umfang betrifft neben Windows und Windows Server zahlreiche weitere Unternehmensprodukte. Dazu zählen unter anderem Office, Exchange Server, Active Directory, SQL Server, Azure, .NET, Remote Desktop sowie DNS- und DHCP-Komponenten. Für IT-Abteilungen steigt damit nicht nur der Patchbedarf, sondern auch der Aufwand für Priorisierung, Tests und Rollout.

Fast 1.000 Schwachstellen beim Microsoft Patchday September 2026

Eine einzige verbindliche Gesamtzahl lässt sich aus den veröffentlichten Auswertungen nicht ableiten. Die Zero Day Initiative zählt 972 neue Microsoft-CVEs. Bezieht sie zusätzlich externe und Chromium-bezogene Einträge ein, kommt sie auf 997 CVEs. BleepingComputer zählt dagegen 966 Schwachstellen, die Microsoft direkt am Patchday vom 8. September geschlossen hat.

Die Unterschiede entstehen durch verschiedene Zählweisen. Für den operativen Betrieb ist deshalb weniger entscheidend, ob die Summe knapp unter oder knapp über 970 liegt. Wichtiger sind aktiv ausgenutzte Lücken, erreichbare Serverdienste und Komponenten mit hohen Auswirkungen.

Schon der August-Patchday hatte eine aktiv ausgenutzte Windows-Lücke gebracht. Der September setzt diesen Trend fort und vergrößert zugleich den Umfang der zu prüfenden Updates erheblich.

Zwei Zero-Days werden bereits aktiv ausgenutzt

CVE-2026-81963 steckt im Windows Update Stack. Die Schwachstelle erlaubt einem bereits autorisierten Angreifer, seine Rechte lokal auszuweiten. Betroffen sind unter anderem Windows 11 23H2, 24H2, 25H2 und 26H1 sowie Windows Server 2025. Der CVSS-Basiswert liegt bei 7,8.

CVE-2026-85880 betrifft Windows Advanced Local Procedure Call, kurz ALPC. Ein Heap-Buffer-Overflow kann ebenfalls zur lokalen Rechteausweitung führen. Betroffen sind mehrere Windows-10-Versionen sowie Windows Server 2012, 2012 R2, 2016, 2019 und 2022. Auch diese Lücke erreicht einen CVSS-Wert von 7,8.

Beide Schwachstellen sind im Known Exploited Vulnerabilities Catalog der US-Sicherheitsbehörde CISA als aktiv ausgenutzt erfasst. Öffentlich bekannt ist bislang nicht, wie verbreitet die Angriffe sind oder welche Akteure dahinterstehen.

Für die Risikobewertung ist wichtig: Beide Zero-Days sind keine klassischen, direkt aus dem Internet ohne vorherigen Zugriff ausnutzbaren RCE-Lücken. Sie eignen sich vielmehr zur Rechteausweitung nach einem bereits erreichten Zugriff auf ein System.

Kritische Serverlücken erhöhen den Patchdruck

Neben den beiden Zero-Days enthält der September-Patchday zahlreiche Schwachstellen in zentralen Serverdiensten. Die Zero Day Initiative hebt unter anderem Sicherheitslücken in Exchange Server, Remote Desktop Services, DNS, DHCP und Active Directory hervor.

Besonders auffällig ist CVE-2026-69525 in Remote Desktop Services. ZDI beschreibt die Lücke mit einem CVSS-Wert von 9,8 und als aus der Ferne ohne Authentifizierung ausnutzbar, sofern der Angreifer die erforderliche Netzwerkposition erreicht. Hinzu kommen mehrere kritische RCE-Lücken in DNS und DHCP.

ZDI zählt insgesamt 20 Patches, deren Schwachstellen nach Einschätzung der Sicherheitsforscher als potenziell wormable gelten könnten. Diese Bewertung stammt von ZDI und ist keine pauschale Klassifizierung durch Microsoft. Für Unternehmen macht sie dennoch deutlich, dass Serverdienste bei der Priorisierung nicht hinter klassischen Client-Updates zurückstehen sollten.

Was IT-Abteilungen jetzt priorisieren sollten

Die schiere Zahl der CVEs eignet sich kaum als Patch-Reihenfolge. IT-Teams sollten zuerst Systeme betrachten, auf denen aktiv ausgenutzte Lücken vorliegen. Danach folgen öffentlich erreichbare oder intern stark exponierte Serverdienste sowie Systeme mit geschäftskritischer Funktion.

Microsoft empfiehlt, die September-Sicherheitsupdates für unterstützte Windows-Versionen zeitnah zu installieren. Für verwaltete Umgebungen bleibt dennoch ein kontrollierter Rollout wichtig. Besonders Server, Authentifizierungsdienste und zentrale Netzwerkrollen sollten vor der breiten Verteilung auf Abhängigkeiten und mögliche Betriebswirkungen geprüft werden.

Wie wichtig auch die Verteilinfrastruktur ist, zeigte bereits die WSUS-Störung im Juli. Sind Synchronisation oder Freigabeprozesse gestört, können selbst verfügbare Sicherheitsupdates verspätet auf kritischen Systemen ankommen.

Weitere Hintergründe zu Schwachstellen, Angriffen und Schutzmaßnahmen bündelt der Bereich Cybersecurity bei IT-Dock.

Microsoft Patchday zeigt Grenzen reiner CVE-Zählungen

Der Microsoft Patchday September 2026 ist vor allem wegen seiner Größenordnung auffällig. Für Unternehmen sind jedoch die beiden aktiv ausgenutzten Windows-Lücken und die zahlreichen serverseitigen RCE-Schwachstellen entscheidender als die Rekordzahl selbst.

Patch-Priorisierung sollte deshalb Exploit-Status, Erreichbarkeit, Systemrolle und mögliche Auswirkungen gemeinsam berücksichtigen. Ein hoher CVSS-Wert allein beschreibt nicht, welche Schwachstelle im eigenen Netz zuerst geschlossen werden muss.

Weitere aktuelle Entwicklungen zu IT-Sicherheit und Infrastruktur bündelt der IT-Dock Newsletter.

Quellen

Microsoft Security Response Center
https://www.microsoft.com/en-us/msrc/blog/2026/09/202609-security-update

Microsoft Security Update Guide
https://msrc.microsoft.com/update-guide

Zero Day Initiative: The September 2026 Security Update Review
https://www.zerodayinitiative.com/blog/2026/9/8/the-september-2026-security-update-review

Rapid7: Patch Tuesday September 2026
https://www.rapid7.com/blog/post/em-patch-tuesday-september-2026/

BleepingComputer: Microsoft September 2026 Patch Tuesday
https://www.bleepingcomputer.com/news/microsoft/microsoft-september-2026-patch-tuesday-fixes-966-flaws-2-zero-days/