Mit der September-Ausgabe des Patch Tuesday hat Microsoft einen neuen historischen Rekord aufgestellt: Insgesamt 974 Sicherheitslücken wurden geschlossen, darunter zwei Schwachstellen, die bereits aktiv ausgenutzt werden. Dieser beispiellose Patch-Berg markiert einen Wendepunkt in der Bedrohungslandschaft und stellt IT-Abteilungen weltweit vor immense Priorisierungs-Herausforderungen.
Zwei aktiv ausgenutzte Zero-Day-Lücken
Die beiden Schwachstellen, für die bereits Angriffe in freier Wildbahn dokumentiert wurden, sind CVE-2026-85880 und CVE-2026-81963. Beide ermöglichen einem authentifizierten Angreifer eine lokale Rechteausweitung auf SYSTEM-Ebene – der höchsten Berechtigungsstufe unter Windows. Es handelt sich um einen Heap-basierten Pufferüberlauf im Advanced Local Procedure Call (ALPC) sowie um eine fehlerhafte Linkauflösung im Windows Update Stack.
CVE-2026-85880 erlaubt es einem Angreifer, der bereits Code in einem niedrig privilegierten AppContainer ausführt, die Sandbox zu verlassen und ohne Benutzerinteraktion vollständige SYSTEM-Rechte zu erlangen. Die Schwachstelle im Windows Update Stack (CVE-2026-81963) betrifft hingegen alle unterstützten Windows-Versionen und schließt eine Lücke, durch die bösartige Verknüpfungen Systemkomponenten überschreiben konnten. Die IT-Sicherheitsunternehmen Volexity und Proofpoint sowie die Forscher von Airbus Helicopters und das Microsoft Threat Intelligence Center (MSTIC) werden für die Entdeckung der Lücken genannt. Die US-Behörde CISA hat beide Schwachstellen in den Katalog bekannter ausgenutzter Sicherheitslücken aufgenommen und verlangt eine Behebung bis zum 22. September 2026.
Die Dimension des September-Patches
Die Zahlen des aktuellen Patch Tuesday sprengen alle bisherigen Dimensionen. 723 der geschlossenen Lücken betreffen Windows, 111 Office, 62 SQL Server und 22 Entwicklertools. Über 110 Schwachstellen wurden als kritisch eingestuft. Die drei häufigsten Schwachstellentypen – Privilege Escalation, Remote Code Execution und Information Disclosure – machen fast 90 Prozent der behobenen Lücken aus. Inklusive der Patches für 25 Nicht-Microsoft-CVEs summiert sich die Zahl sogar auf 999 behobene Schwachstellen. Zum Vergleich: Im August 2026 waren es 457, im Juli 663, im Juni 220 und im Mai 161 Lücken. Die Gesamtzahl der von Microsoft in diesem Jahr bereits geschlossenen Sicherheitslücken liegt damit bei über 2.600 – mehr als doppelt so viele wie im bisherigen Rekordjahr 2020 mit 1.245 Lücken – und das bei noch drei verbleibenden Monaten.
Weitere kritische Lücken im Fokus
- CVE-2026-55007 (CVSS 8.1): Double-Free-Schwachstelle in Microsoft Exchange Server – ermöglicht Codeausführung über das Netzwerk ohne Authentifizierung.
- CVE-2026-80097 (CVSS 8.6): Fehlerhafte Authentifizierung in Microsoft Authenticator – lokale Rechteausweitung.
- CVE-2026-69465 (CVSS 8.8): Fehlende Autorisierung in Microsoft Office SharePoint – Codeausführung über das Netzwerk durch autorisierten Angreifer.
- CVE-2026-65669 (CVSS 9.6): Injection-Schwachstelle in SQL Server – Rechteausweitung über das Netzwerk ohne Authentifizierung.
- CVE-2026-69525, CVE-2026-69595, CVE-2026-69730, CVE-2026-69829, CVE-2026-72979 (alle CVSS 9.8): Use-After-Free- und Heap-basierte Buffer-Overflow-Lücken in Windows Remote Desktop Services, NFS ONCRPC XDR Driver, DNS-Server, Windows Shell und DHCP-Server – jeweils Codeausführung über das Netzwerk ohne Authentifizierung.
Priorisierung als neue Herausforderung
Die schiere Menge an Patches zwingt Sicherheitsteams zu einer radikalen Neuausrichtung. Die Herausforderung liegt nicht mehr allein im Einspielen der Updates, sondern in der Identifikation derer, die sofortiges Handeln erfordern. Unternehmen müssen genau analysieren, welche der geschlossenen Lücken in ihrer spezifischen Umgebung tatsächlich erreichbar und ausnutzbar sind. Trotz der enormen Patch-Menge bleibt die Zahl der Schwachstellen, die für die meisten Organisationen relevant sind, vergleichsweise überschaubar. Ein sprunghafter Anstieg aktiver Exploits wurde bislang nicht beobachtet. Entscheidend ist das Verständnis des Risikokontextes: Ist eine Lücke über das Internet erreichbar? Welche Systeme sind betroffen? Wie hoch ist das tatsächliche Gefährdungspotenzial?
Die Entwicklung ist zugleich ein zweischneidiges Schwert: Einerseits bedeuten hohe CVE-Zahlen eine proaktive Reduzierung der Angriffsfläche, bevor Angreifer die Lücken selbst finden und ausnutzen können. Andererseits verlieren die reinen Zahlen an Aussagekraft, solange Microsoft und andere große Hersteller mit der Beseitigung über Jahre angehäufter Schwachstellen beschäftigt sind. Langfristig ist zu erwarten, dass sich das Tempo normalisiert, sobald die hartnäckigsten und tief verborgenen Sicherheitslücken geschlossen sind.
Die Rolle Künstlicher Intelligenz
Die Zero-Day-Initiative von Trend Micro weist darauf hin, dass KI-gestützte Schwachstellenerkennung einen signifikanten Anteil an der rasant wachsenden Zahl von Sicherheitslücken hat. Automatisierte Tools durchforsten Codebasen in einem Tempo und in einer Tiefe, die menschlichen Analysten nicht möglich ist. Dies führt zu einer Flut von CVEs, die zwar die Sicherheit langfristig erhöht, kurzfristig aber die Kapazitäten von IT- und Sicherheitsteams überfordert. Für Unternehmen bedeutet dies, dass sie nicht mehr jeden Patch sofort einspielen können, sondern eine risikobasierte Strategie verfolgen müssen, die auf Erreichbarkeit, Ausnutzbarkeit und kritischen Geschäftsprozessen beruht.
Der September-Patch Tuesday 2026 wird als der Monat in die Geschichte eingehen, in dem die Zahl der geschlossenen Sicherheitslücken erstmals die Tausendermarke fast erreichte. Gleichzeitig zeigt die Situation deutlich, dass die Branche vor einer Transformation steht: Weg von der reinen Patch-Menge, hin zu intelligenten Priorisierungs- und Risikomanagementprozessen. Nur wer versteht, welche Lücken wirklich brennen, kann die Flut der Sicherheitsupdates bewältigen, ohne die Verteidigung zu vernachlässigen.
