Eine Grafik mit rotem Hintergrund, die eine digitale IT-Struktur in einem abstrakten Design darstellt. Geeignet für technische Themen.
Der Patchday September 2026 ist der bislang umfangreichste in der Geschichte von Microsoft: Am 8. September 2026 lieferte der Hersteller Updates für 964 Schwachstellen aus, davon 104 als kritisch eingestuft. Zwei davon werden bereits aktiv ausgenutzt, beide erlauben Angreifern eine Rechteausweitung bis auf Systemebene. Erschwerend kommt hinzu, dass Microsoft das Hotpatching im September aussetzt – verwaltete Geräte brauchen diesmal einen klassischen Neustart. Dieser Beitrag ordnet ein, welche Updates Vorrang haben und worauf beim Ausrollen zu achten ist.
Das Wichtigste in Kürze
- Der Patchday September 2026 schließt nach Auswertung von Tenable 964 Schwachstellen, davon 104 kritisch und 860 wichtig - mehr als jeder Patchday zuvor.
- Zwei Zero-Days werden aktiv ausgenutzt: CVE-2026-81963 im Windows Update Stack und CVE-2026-85880 in der ALPC-Komponente, beide mit CVSS 7.8.
- Beide Lücken stehen im Katalog bekannter ausgenutzter Schwachstellen der US-Behörde CISA; dortige Bundesbehörden müssen bis zum 22. September 2026 patchen.
- Besonders kritisch sind drei Serverdienste: Windows DNS Server (CVE-2026-69730, CVSS 9.8), Remote Desktop Services (CVE-2026-69525, CVSS 9.8) und Kerberos (CVE-2026-69676, CVSS 8.8).
- Hotpatching pausiert im September: Für verwaltete Windows-Geräte ist ein Neustartfenster einzuplanen, ab Oktober 2026 soll der gewohnte Zyklus zurückkehren.
Rekordumfang beim Patchday September 2026
Der Patchday September 2026 sprengt den bisherigen Rahmen deutlich. Der Sicherheitsanbieter Tenable zählt 964 behobene Schwachstellen, davon 104 als kritisch und 860 als wichtig bewertet. Damit übertrifft dieser Termin den bisherigen Höchstwert aus dem Juli 2026. Je nach Zählweise kommen andere Auswertungen auf bis zu 973 Einträge, weil Microsoft im Security Update Guide auch Zulieferungen aus Fremdkomponenten führt.
Bei den Schwachstellentypen dominiert die Rechteausweitung: 44,7 Prozent der Einträge entfallen laut Tenable auf Elevation of Privilege, 26,8 Prozent auf Remotecodeausführung. Für die Praxis heißt das, dass die Mehrzahl der Lücken einen bereits vorhandenen Zugang voraussetzt – genau das Szenario, das nach einer erfolgreichen Phishing-Mail eintritt.
Bemerkenswert ist auch die Jahresbilanz: Für 2026 summieren sich die Microsoft-Schwachstellen bereits auf mehr als 2.600 und damit auf mehr als das Doppelte des bisherigen Rekordjahres 2020. Sicherheitsfachleute führen die Flut auch auf KI-gestützte Codeprüfungen zurück, die viele kleinere Mängel finden. Gefährlich werden diese vor allem in Kombination, wenn Angreifer mehrere Schwächen zu einer Angriffskette verbinden.
Zahlen zum Patchday September 2026
- 964 geschlossene Schwachstellen, davon 104 kritisch und 860 wichtig
- 2 aktiv ausgenutzte Zero-Days, beide mit CVSS 7.8
- 44,7 Prozent Rechteausweitung, 26,8 Prozent Remotecodeausführung
- 22. September 2026 als Patch-Frist der CISA für US-Bundesbehörden
Zwei Zero-Days werden aktiv ausgenutzt
Die erste aktiv ausgenutzte Lücke, CVE-2026-81963, steckt ausgerechnet im Windows Update Stack, also in der Komponente, die Updates installiert. Über einen Link-Following-Fehler können Angreifer ihre Rechte bis auf Systemebene ausweiten. Laut Tenable ist es die erste Schwachstelle dieser Komponente, die seit 2022 als Zero-Day angegriffen wird. Beobachtet wird sie in Ransomware-Angriffsketten: Die Täter verschaffen sich per Phishing einen ersten Zugang und eskalieren anschließend ihre Rechte.
Die zweite Lücke, CVE-2026-85880, betrifft den Advanced Local Procedure Call (ALPC), einen internen Kommunikationsmechanismus von Windows. Auch hier geht es um eine Rechteausweitung, diesmal über eine Umgehung der Authentifizierung. Es ist laut Tenable der erste ALPC-Patch seit April 2023.
Wichtig für IT-Admins
Eine Rechteausweitung ist kein Einstiegspunkt, sondern ein Verstärker. Angreifer brauchen zuerst einen Fuß in der Tür, etwa ein übernommenes Benutzerkonto. Genau deshalb sind diese beiden Lücken für Ransomware-Gruppen so wertvoll: Sie verwandeln ein einzelnes kompromittiertes Konto in die Kontrolle über das ganze System.
Die US-Cybersicherheitsbehörde CISA hat beide Schwachstellen als aktiv ausgenutzt bestätigt und ihren Bundesbehörden eine Frist bis zum 22. September 2026 gesetzt. Für Unternehmen in Deutschland ist diese Frist nicht bindend, taugt aber als realistischer Maßstab für die eigene Planung.
Kritische Lücken in Windows-Serverdiensten
| CVE | Komponente | Typ | CVSS |
|---|---|---|---|
| CVE-2026-69730 | Windows DNS Server | Remotecodeausführung | 9.8 |
| CVE-2026-69525 | Remote Desktop Services | Remotecodeausführung | 9.8 |
| CVE-2026-69676 | Windows Kerberos | Remotecodeausführung | 8.8 |
| CVE-2026-69380 | Microsoft Exchange | Rechteausweitung | 8.1 |
Unabhängig von den Zero-Days verdienen diese vier Einträge besondere Aufmerksamkeit, weil sie zentrale Serverdienste treffen und Microsoft drei davon als „Exploitation More Likely“ einstuft. DNS und Kerberos sind Kernbestandteile jeder Active-Directory-Umgebung, Remote Desktop Services sind in vielen mittelständischen Netzen der Weg für den Fernzugriff. Fällt einer dieser Dienste in falsche Hände, steht der Domänencontroller offen. Für Exchange gilt weiterhin, was der Beitrag zur Exchange-Sicherheitslücke CVE-2026-62911 beschrieben hat: Der Rückstand beim Patchen ist bei On-Premises-Servern besonders groß.
Hotpatching pausiert im September
Für Umgebungen mit Hotpatching gibt es eine organisatorische Besonderheit. Microsoft hat bereits Ende August angekündigt, den Hotpatch-Zyklus im September auszusetzen: Tiefer liegende Sicherheitskomponenten lassen sich nicht ohne Neustart austauschen. Verwaltete Windows-Geräte benötigen deshalb in diesem Monat einen klassischen Neustart, ab Oktober 2026 soll der gewohnte Ablauf zurückkehren.
Planen Sie das Neustartfenster aktiv ein und kündigen Sie es an. Umgebungen, die sich an neustartfreie Monate gewöhnt haben, verlieren sonst Zeit mit Rückfragen aus der Belegschaft – oder es bleiben Geräte im halb gepatchten Zustand zurück.
Bekannte Probleme rund um die Updates
Für Windows-Clients verteilt Microsoft die folgenden Sammelupdates. Behoben sind damit unter anderem die Darstellungsfehler bei Mauszeiger und Desktophintergrund aus dem Vorschau-Update vom 27. August 2026 sowie Abstürze von Teams und Outlook auf ARM64-Geräten.
- KB5124008 - Windows 11 24H2 und 25H2
- KB5122880 - Windows 11 23H2
- KB5122878 - Windows 10 21H2 und 22H2
- KB5122876 - Windows 10 Enterprise 2019 LTSC
- KB5123099 - Windows 10 1607 Enterprise LTSC
Zwei Baustellen bleiben. Auf Windows Server 2016 stürzt seit dem August-Update die CompatTelRunner.exe mit dem Fehler 0xc0000409 ab. Und beim WSUS-Synchronisierungsproblem, das seit Mitte Juni vor allem europäische Umgebungen trifft, greift der Fix KB5121986 vom Juli nicht in allen Fällen: Ist auf dem WSUS-Server das Windows-Subsystem für Linux als Produktkategorie ausgewählt, scheitert die Synchronisierung weiterhin. Das Abwählen dieser Kategorie hilft als Behelf.
So gehen Sie beim Patchen vor
1
Priorisieren statt alles gleichzeitig
Zuerst die beiden Zero-Days CVE-2026-81963 und CVE-2026-85880, danach DNS, Remote Desktop Services und Kerberos.
2
Exponierte Systeme zuerst
Alles, was aus dem Internet erreichbar ist, vor den internen Clients patchen.
3
Neustartfenster einplanen
Hotpatching entfällt im September; Termin und Dauer vorab abstimmen und ankündigen.
4
Testring nutzen
Eine repräsentative Gerätegruppe vorab versorgen und 24 bis 48 Stunden beobachten.
5
Verteilwege prüfen
WSUS-Synchronisierung kontrollieren, bevor der Rollout startet.
6
Erfolg messen
Nach dem Rollout die Installationsquote auswerten und Nachzügler gezielt nachziehen.
7
Rechteausweitung eindämmen
Lokale Administratorrechte reduzieren und Anmeldungen überwachen, damit ein kompromittiertes Konto nicht zur Systemübernahme führt.
Bedeutung für Geschäftsführung und Entscheider
Die Zahl 964 ist für die Geschäftsführung weniger relevant als die Frage, wie schnell diese Updates im Haus ankommen. Zwei der Lücken werden nachweislich in Ransomware-Angriffen genutzt, und beide brauchen lediglich einen bereits vorhandenen Zugang – etwa ein Konto, das über eine Phishing-Mail übernommen wurde. Zwischen erstem Zugriff und verschlüsselten Systemen liegen in solchen Fällen oft nur Stunden.
Der Aufwand ist planbar: Es geht um regulären Patchbetrieb, nicht um ein Projekt. Zu entscheiden ist im September vor allem eines – wann das Neustartfenster liegt und welche Systeme dafür kurz stillstehen dürfen. Wer diese Abstimmung verschiebt, verschiebt faktisch den Schutz.
Zwei Kennzahlen lohnen den Blick in der nächsten Leitungsrunde: Wie viele Tage vergehen zwischen Patchday und flächendeckender Installation, und wie viele Systeme sind nach 14 Tagen noch offen? Beides lässt sich aus dem vorhandenen Patchmanagement ablesen. Bleiben die Werte im zweistelligen Tagebereich, ist das ein Steuerungsthema für die Geschäftsführung und kein reines Technikthema.
FAQ zum Patchday September 2026
Welche Updates aus dem Patchday September 2026 sind am dringendsten?
Zuerst die beiden aktiv ausgenutzten Zero-Days CVE-2026-81963 (Windows Update Stack) und CVE-2026-85880 (ALPC). Danach folgen die Remotecodeausführungen in Windows DNS Server, Remote Desktop Services und Kerberos.
Warum ist im September ein Neustart nötig, obwohl Hotpatching genutzt wird?
Microsoft setzt den Hotpatch-Zyklus im September aus, weil sich tiefer liegende Sicherheitskomponenten nicht im laufenden Betrieb austauschen lassen. Ab Oktober 2026 soll wieder ohne Neustart gepatcht werden.
Sind kleine und mittlere Unternehmen von diesen Lücken betroffen?
Ja. Betroffen sind Standardkomponenten von Windows-Clients und Windows-Servern, die in praktisch jeder Umgebung laufen. Die Größe des Unternehmens spielt für die Angreifbarkeit keine Rolle.
Reicht es, die Updates automatisch installieren zu lassen?
In kleinen Umgebungen ist die automatische Installation besser als ein verzögerter manueller Prozess. In verwalteten Netzen sollten zusätzlich ein Testring, ein Neustartfenster und eine Erfolgskontrolle vorgesehen werden, damit keine Systeme unbemerkt zurückbleiben.
Fazit
Der Patchday September 2026 ist vor allem wegen zweier Lücken wichtig, nicht wegen seiner Rekordgröße: CVE-2026-81963 und CVE-2026-85880 werden aktiv in Ransomware-Angriffsketten genutzt und heben ein einzelnes kompromittiertes Konto auf Systemrechte. Direkt danach folgen die Remotecodeausführungen in DNS, Remote Desktop Services und Kerberos, weil sie die Kernwege einer Active-Directory-Umgebung treffen. Neu ist in diesem Monat nur die Organisation: Ohne Hotpatching braucht es ein Neustartfenster. Wer beides zusammen plant – Priorisierung nach Ausnutzbarkeit und ein verbindlicher Neustarttermin – hat den September-Patchday in wenigen Tagen abgeschlossen statt in mehreren Wochen.
Fanden Sie den Blogbeitrag hilfreich und interessant?
Vielen Dank für Ihre Rückmeldung!