Microsoft-Patchday September 2026: 974 Lücken, zwei aktiv ausgenutzte Zero-Days
974 Sicherheitslücken an einem einzigen Dienstag – so viele hat Microsoft in einem Patchday noch nie geschlossen. Der September-Lauf bricht einen Rekord, den niemand feiern will. Spannender als die Zahl ist etwas anderes: Zwei der Lücken werden bereits aktiv ausgenutzt, und beide sitzen tief im Betriebssystem.
Was tatsächlich passiert ist
Am 8. September 2026 hat Microsoft seinen monatlichen Patchday ausgerollt. Der Security Update Guide weist 974 CVEs aus – die größte Einzelauslieferung, die der Hersteller bisher hatte. Der Schwerpunkt liegt klar bei Windows und Office; daneben wurden unter anderem SQL Server, SharePoint Server, Exchange Server, Azure und die Developer Tools bedient.
Zwei Lücken stuft Microsoft als bereits aktiv ausgenutzt ein:
- CVE-2026-85880 ist ein Heap-Buffer-Overflow in der Windows Advanced Local Procedure Call (ALPC). Wer aus einem niedrig berechtigten AppContainer heraus Code ausführen kann, kann damit die Sandbox verlassen und sich System-Rechte verschaffen – ohne weitere Nutzerinteraktion.
- CVE-2026-81963 ist ein Fehler in der Auflösung von Verknüpfungen („link following") im Windows Update Stack und erlaubt einem lokalen Angreifer ebenfalls den Sprung auf System-Rechte.
Die Zero Day Initiative zählt 20 der geschlossenen Lücken als potenziell selbstverbreitend („wormable"), weil sie ohne Anmeldung und ohne Zutun des Nutzers ausgenutzt werden könnten. Das sind die Zahlen, die man sich merken sollte – nicht die 974.
Meine Einordnung
974 klingt nach Weltuntergang. Es ist keiner. Ein großer Teil dieser Lücken betrifft Komponenten, die in einem normalen Mittelstandsbetrieb schlicht nicht erreichbar sind, oder setzt eine Ausgangslage voraus, die ein Angreifer erst herstellen muss. Wer die reine Zahl als Dringlichkeitsskala nimmt, patcht am Ende alles ein bisschen und das Wichtige zu spät. Die richtige Frage lautet nicht „wie viele", sondern „welche davon betreffen ein System, das bei mir erreichbar ist".
Die beiden Zero-Days sind genau deshalb relevant, weil sie nicht alleinstehen. Beide sind lokale Rechteausweitungen. Für sich genommen nützen sie einem Angreifer wenig, wenn er nicht schon ein wenig Code auf der Maschine ausführen darf – aber genau das ist nach einem präparierten Anhang oder einer erfolgreichen Phishing-Seite oft der Fall. Erst die Kette aus „irgendwie drin" und „jetzt ganz oben" macht daraus den Vorfall. Deshalb ist das Patchen der Endgeräte hier nicht optional, sondern der Punkt, an dem die Kette reißt.
In Mandaten sehe ich regelmäßig denselben blinden Fleck: Es gibt einen Dienstleister, der „patcht", aber niemand kann sagen, welcher Stand auf welchem System wirklich läuft. Ein Update, das installiert, aber nicht neu gestartet wurde, ist nicht wirksam – beim Update Stack in diesem Monat ganz besonders. Und ein Patchday ist kein Aktionstag, sondern ein kleiner Prozess: Wer entscheidet über Priorisierung, wer testet, wer rollt aus, wer prüft nach? Betriebe im Umland von Fürstenfeldbruck, in München oder Augsburg, die das einmal aufgeschrieben haben, brauchen bei einem Rekordmonat wie diesem keine Panik – nur einen Blick auf die Liste.
Was Sie jetzt konkret tun können
1. Die Zero-Days zuerst. Versorgen Sie Windows-Clients und -Server mit den Updates für CVE-2026-85880 und CVE-2026-81963 und planen Sie den Neustart ein. Der Update Stack wirkt erst nach dem Reboot.
2. Echte Erreichbarkeit prüfen. Legen Sie für die auffälligen Komponenten – Exchange, SharePoint, SQL – fest, was aus dem Netz erreichbar ist. Was nicht erreichbar ist, hat Zeit; was erreichbar ist, hat keine.
3. Vom Ereignis zum Prozess. Notieren Sie in fünf Zeilen, wer patcht, wer testet, wer nachhält. Diese fünf Zeilen sind mehr wert als jede Priorisierungsliste.
4. Nachweis statt Zusage. Lassen Sie sich vom Dienstleister eine kurze Bestätigung mit System, Patchstand und Datum geben – Absichtserklärungen helfen bei der nächsten Frage niemandem.
5. Unterstützung holen, wenn der Nachweis fehlt. Wenn Sie nicht sagen können, welcher Stand auf welchem System läuft, ist genau das die Aufgabe, mit der man anfängt.
Wenn Sie das für Ihr Unternehmen prüfen lassen wollen: Im Bereich IT-Sicherheit für KMU schauen wir Patchstand, Erreichbarkeit und Prozess gemeinsam durch – über Kontakt ist der erste Austausch unverbindlich.
Quellen
- Microsoft Security Update Guide, Release Notes September 2026, 08.09.2026 — https://msrc.microsoft.com/update-guide/releaseNote/2026-Sep
- Ivanti, „September 2026 Patch Tuesday", 08.09.2026 — https://www.ivanti.com/blog/september-2026-patch-tuesday
- Zero Day Initiative (Dustin Childs), „The September 2026 Security Update Review", 08.09.2026 — https://www.zerodayinitiative.com/blog/2026/9/8/the-september-2026-security-update-review
Häufige Fragen
Müssen wir wirklich alle 974 Lücken patchen?
Nein, so funktioniert Priorisierung nicht. Patchen Sie die aktiv ausgenutzten Lücken und alles, was bei Ihnen erreichbar ist. Der Rest gehört in eine Liste, die Sie systematisch abarbeiten – nicht in einen Nachtschicht-Einsatz.
Was ist an den beiden Zero-Days so besonders?
Sie werden bereits ausgenutzt, und sie liefern einem Angreifer System-Rechte im Betriebssystem. Ein lokaler Ausgangspunkt genügt. Deshalb stehen genau diese beiden ganz oben.
Reicht es, wenn unser IT-Dienstleister patcht?
Es reicht nicht, dass er patcht – Sie sollten wissen, dass es passiert ist. Eine Patchpflicht wird nicht dadurch erfüllt, dass sie in einem Vertrag steht. Eine schriftliche Bestätigung mit Version und Datum ist der Nachweis, den Sie später brauchen.
*Dieser Beitrag ist eine fachliche Einordnung und keine Rechtsberatung. Grundlage sind der Microsoft Security Update Guide sowie die Analysen der Zero Day Initiative und von Ivanti zum September-Patchday 2026 (Stand 8. September 2026).*
Eigene Einordnung, keine Rechtsberatung. Quellen: Microsoft Security Update Guide, Release Notes September 2026, 08.09.2026 — https://msrc.microsoft.com/update-guide/releaseNote/2026-Sep · Ivanti, „September 2026 Patch Tuesday", 08.09.2026 — https://www.ivanti.com/blog/september-2026-patch-tuesday · Zero Day Initiative (Dustin Childs), „The September 2026 Security Update Review", 08.09.2026 — https://www.zerodayinitiative.com/blog/2026/9/8/the-september-2026-security-update-review