Microsoft Patch Tuesday September 2026: 966 Schwachstellen und zwei aktivierte Zero-Days in Windows

Was wäre, wenn ein einziger Patch-Zyklus nahezu tausend Sicherheitslücken in Ihrem Netzwerk schließt – und zwei davon von Angreifern bereits aktiv ausgenutzt werden? Genau diese Situation hat der Patch Tuesday im September 2026 herbeigeführt: Microsoft hat am 8. September 2026 mit 966 am Patch-Tag selbst behobenen Schwachstellen einen neuen Rekord aufgestellt, und die US-Cyberbehörde CISA hat beide Windows-Zero-Days umgehend in ihren Known-Exploited-Vulnerabilities-Katalog aufgenommen. Für US-Bundesbehörden gilt damit eine harte Vorgabe: Die Updates müssen bis zum 22. September 2026 nachweislich installiert sein.

Die Dimensionen dieses Zyklus überfordern die üblichen Patch-Routinen: 105 der behobenen Schwachstellen gelten als Critical, 81 davon ermöglichen Remote Code Execution. Zusammen mit 204 Fehlern, die Microsoft bereits Anfang September außerhalb des regulären Zyklus geschlossen hat, bewegt sich das Monatsvolumen Richtung 1.000 Einträge. Security-Teams müssen deshalb zweigleisig fahren: Die beiden aktiv ausgenutzten Privilege-Escalation-Lücken in Windows Update Stack und Windows ALPC haben absolute Priorität, während die restliche Patch-Flotte nach Risikokontext sortiert wird. Dieser Beitrag ordnet die Rekordzahlen ein, analysiert die beiden Zero-Days im Detail und nennt die Critical-Lücken, die in dieser Woche ganz oben auf der Patch-Liste stehen.

Rekord-Patchday: Die Zahlen im Überblick

Der September-Patch-Tag des Jahres 2026 sprengt alle bisherigen Dimensionen. Je nach Zählmethode wurden 964 bis 974 Schwachstellen an einem einzigen Tag behoben; die Gesamtbilanz des Monats steigt auf 999 Einträge, wenn man die 25 CVEs Dritter mitzählt, die Microsoft in seine Release Notes aufgenommen hat. Die offiziellen Release Notes von Microsoft dokumentieren den vollständigen Umfang des Zyklus. Ein Großteil der Lücken betrifft Windows-Clients und Windows-Server: Nach der Auswertung von The Hacker News entfallen 723 Schwachstellen auf Windows, 111 auf Office, 62 auf SQL Server und 22 auf Entwicklerwerkzeuge. Mehr als 100 der behobenen Fehler sind als Critical eingestuft – je nach Zählweise 105 bis 110.

Der Vergleich mit den Vormonaten

Der September reiht sich in ein außergewöhnliches Patch-Jahr ein. Schon der Juli 2026 hatte mit 663 behobenen Lücken einen Rekord gesetzt, der August brachte es auf 457 Einträge. Der September übertrifft den Juli-Rekord je nach Zählmethode um rund 45 bis 70 Prozent und markiert damit den zwölften Monat in Folge, in dem Microsoft die eigenen Skalierungsprobleme mit immer größeren Patch-Paketen kompensiert. Laut dem Vulnerability-Management-Anbieter Tenable hat Microsoft damit im laufenden Jahr bereits über 2.600 Schwachstellen geschlossen – mehr als doppelt so viele wie im bisherigen Rekordjahr 2020, und das bei drei Monaten Restlaufzeit. Die Zero Day Initiative von Trend Micro zählt gar 2.760 in diesem Jahr gepatchte Fehler.

Warum die Quellen unterschiedlich zählen

966, 974, 964 oder 999 – die scheinbaren Widersprüche zwischen Medien und Analysten erklären sich aus verschiedenen Zählmethoden. BleepingComputer berücksichtigt nur die Veröffentlichungen des Patch-Tages selbst und kommt auf 966 Lücken. The Hacker News bezieht die vollständigen Monats-Release-Notes von Microsoft ein und nennt 974 Einträge. Tenable zählt in seiner Analyse 964 CVEs für den Zyklus, und die Gesamtzahl von 999 entsteht, wenn die 25 Drittanbieter-CVEs hinzukommen, die Microsoft in seinen Advisories mitführt. Für die Praxis spielt die genaue Zahl keine Rolle: Kein Security-Team patcht dieses Volumen in einem Durchgang. Entscheidend ist die Frage, welche der Lücken im eigenen Netzwerk überhaupt erreichbar und ausnutzbar sind – und das sind nach allen vorliegenden Analysen deutlich weniger als die Rekordzahlen vermuten lassen.

Die beiden Zero-Days: aktive Ausnutzung in Windows-Komponenten

Zwei der behobenen Schwachstellen wurden nach Angaben von Microsoft bereits aktiv in Angriffen ausgenutzt, bevor ein Patch verfügbar war. Beide zielen auf denselben Angriffsziel ab: die Rechteausweitung eines bereits im System vorhandenen Angreifers bis auf SYSTEM-Ebene. Beide Schwachstellen tragen den CVSS-Base-Score von 7.8 von 10 und wurden von der CISA am 8. September 2026 gemeinsam in den Known-Exploited-Vulnerabilities-Katalog aufgenommen.

CVE-2026-81963: Link-Following im Windows Update Stack

Die erste Zero-Day-Lücke sitzt im Windows Update Stack, der Kernkomponente für die Verteilung von Patches. Betroffen ist eine improper link resolution before file access, wie Microsoft im offiziellen Advisory beschreibt: Ein autorisierter Angreifer kann die Art und Weise, wie die Komponente symbolischen Links folgt, ausnutzen, um lokal Rechte auszuweiten. In der Praxis bedeutet das: Schadsoftware, die bereits mit eingeschränkten Rechten auf einem System läuft, kann über ein präpariertes Link-Ziel Systemdateien mit Angreifer-Komponenten überschreiben und so die volle SYSTEM-Kontrolle erlangen. Rapid7-Ingenieur Adam Barnett interpretiert den Patch so, dass Microsoft die Kontrollen verschärft, damit der Update-Stack keinen bösartigen Links mehr folgt. Bemerkenswert ist die Historie: Tenable zählt sieben Privilege-Escalation-Lücken im Windows Update Stack seit 2022 – aber CVE-2026-81963 ist die erste davon, die als Zero-Day und unter aktiver Ausnutzung gemeldet wurde. Entdeckt wurde die Lücke von Romain Deperne, einem Offensive-Security-Forscher bei Airbus Helicopters, zusammen mit dem Microsoft Threat Intelligence Centre. Wie und von wem sie ausgenutzt wurde, hat Microsoft nicht offengelegt.

CVE-2026-85880: Heap-Overflow in der Windows-ALPC

Die zweite Zero-Day-Schwachstelle betrifft die Advanced Local Procedure Call-Schnittstelle von Windows, einen Kernmechanismus der prozessübergreifenden Kommunikation. Ein heap-basierter Pufferüberlauf in dieser Komponente ermöglicht autorisierten Angreifern die lokale Rechteausweitung. Microsoft beschreibt das Angriffsszenario im Advisory zu CVE-2026-85880 präzise: Ein Angreifer, der Code in einem niedrig privilegierten AppContainer ausführen kann, kann die Schwachstelle lokal ausnutzen, um der Sandbox zu entkommen und Rechte auf dem System auszuweiten – ohne dass eine zusätzliche Benutzerinteraktion erforderlich ist. Das macht die Lücke zum idealen zweiten Schritt in Angriffsketten, die über comprimierten Browser-Content, Office-Dokumente oder Sandboxed-Anwendungen starten. Gemeldet wurde sie von den Firmen Volexity und Proofpoint – beide aktiv in der Beobachtung staatlich und kriminell motivierter Kampagnen. Es ist erst die zweite ALPC-Lücke seit Januar 2023, die als Zero-Day in der freien Wildbahn auftaucht; die letzte war CVE-2023-21674. Dass eine Schwachstelle in der Windows-eigenen Update-Infrastruktur und eine in der IPC-Schicht gleichzeitig unter aktiver Ausnutzung stehen, ist ein deutliches Signal: Angreifer konzentrieren sich auf Komponenten, die auf nahezu jedem Windows-System vorhanden sind.

CISA KEV: Frist bis zum 22. September 2026

Die US-Cybersecurity and Infrastructure Security Agency hat beide Zero-Days am Tag der Patch-Veröffentlichung in den Known-Exploited-Vulnerabilities-Katalog aufgenommen. Die Einträge erfolgen unter den Bezeichnungen Microsoft Windows Link Following Vulnerability und Microsoft Windows Heap-Based Buffer Overflow Vulnerability. Für Federal Civilian Executive Branch-Agenturen gilt die Pflicht zur Absicherung bis zum 22. September 2026. Ob die Lücken bereits in Ransomware-Kampagnen verwendet wurden, ist laut KEV-Eintrag derzeit unbekannt.

Was die KEV-Aufnahme praktisch bedeutet

Der Known-Exploited-Vulnerabilities-Katalog ist die wichtigste Priorisierungs-Quelle für Schwachstellenmanagement weltweit. Nur Lücken, für die es belastbare Hinweise auf aktive Ausnutzung gibt, werden aufgenommen – und damit rücken sie automatisch an den Anfang jeder Patch-Planung. Wer die KEV-Liste regelmäßig abgleicht, hat die beiden Windows-Zero-Days spätestens mit dem Alert vom 8. September auf dem Radar; die sieben neuen KEV-Einträge vom 2. September 2026 haben das Muster bereits vorgegeben. Microsoft selbst nennt zu beiden Lücken keine Details zu Angriffsumfang oder Opfern, weist aber ausdrücklich darauf hin, dass Exploitation-Versuche beobachtet wurden. Für Organisationen außerhalb der US-Verwaltung ist die KEV-Aufnahme zwar nicht rechtsverbindlich, aber die handelsübliche Versicherungs- und Compliance-Praxis behandelt KEV-Einträge faktisch als Patch-Pflicht innerhalb der genannten Frist – spätestens Audits und Sicherheitsprüfungen werden die Nachweispflicht einfordern. Auch die CISA-KEV-Aufnahmen der Microsoft-Lücken aus dem August 2026 zeigten dieses Muster bereits: Vierzehn Tage Nachweispflicht, danach gilt die Lücke als unentschuldigt offen.

BOD 26-04 und die Risiko-Priorisierung

Die KEV-Frist verweist auf die Binding Operational Directive 26-04, mit der die CISA die Priorisierung von Security-Updates nach Risiko institutionalisiert hat. Die Direktive verlangt von Behörden nicht mehr das schematische Einspielen aller Updates, sondern die risikobasierte Auswahl: Erreichbarkeit, Exposition und Ausnutzungsstatus entscheiden über die Reihenfolge. Genau diese Logik ist auch für Unternehmen der richtige Weg durch den Rekord-September. Jack Bicer, Direktor Vulnerability Research bei Action1, bringt das Dilemma auf den Punkt: Mit hunderten gleichzeitigen Updates müssten IT- und Security-Teams schnell trennen, welche Schwachstellen sofortige Aufmerksamkeit brauchen und welche dem normalen Deployment-Zyklus folgen können.

Die gefährlichsten Critical-Lücken des Zyklus

Jenseits der beiden Zero-Days enthält der September-Zyklus eine Reihe von Critical-Lücken, die wegen ihrer Angriffsvektoren besonders für Infrastruktur-Betreiber relevant sind. Auffällig: Neun der gelisteten Schwachstellen erreichen einen CVSS-Base-Score von 9.6 von 10 oder höher und ermöglichen fast ausnahmslos die Code-Ausführung über das Netzwerk ohne Authentifizierung.

Remote Code Execution ohne Authentifizierung

Die gefährlichste Klasse dieses Patch-Tages sind Use-after-free-Fehler in Windows-Komponenten mit Netzwerk-Exposition. Die Windows DNS Server-Lücke CVE-2026-69730 (CVSS 9.8/10) erlaubt unauthentisierten Angreifern die Code-Ausführung – DNS-Server stehen in fast jedem Netzwerk und sind selten restriktiv gefiltert. Ähnlich kritisch: CVE-2026-72979 (CVSS 9.8/10) im Windows DHCP Server und CVE-2026-69595 (CVSS 9.8/10) im Windows Services for NFS ONCRPC XDR Driver. Auch die Windows Remote Desktop Services sind mit CVE-2026-69525 (CVSS 9.8/10) betroffen – eine Use-after-free-Schwachstelle, die Remote-Code-Ausführung ohne Authentifizierung erlaubt und damit direkt in die Angriffskette von RDP-Bruteforce und initial Access-Brokern passt. Der Windows Shell sind gleich zwei kritische Lücken zuzuordnen, darunter der Heap-Überlauf CVE-2026-69829 (CVSS 9.8/10). Diese Lücken teilen ein Muster, das für die Reihenfolge der Patch-Auswahl entscheidend ist: Sie greifen über Netzwerkdienste, die in klassischen Unternehmensumgebungen nicht sofort abgeschaltet werden können.

Exchange, SharePoint, SQL Server und Authenticator

Im Server-Umfeld sind vier weitere Lücken der Aufmerksamkeit wert. Microsoft Exchange Server enthält mit CVE-2026-55007 (CVSS 8.1/10) einen Double-Free-Fehler, der unauthentisierten Angreifern die Code-Ausführung über das Netzwerk erlaubt – Exchange-Installationen sind permanenter Zielfläche und sollten, wie beim vCenter-Directory-Traversal-Angriffswellen des Sommers, als exponiert behandelt werden. Microsoft Office SharePoint Server enthält mit CVE-2026-69465 (CVSS 8.8/10) eine fehlende Autorisierungsprüfung, die Code-Ausführung über das Netzwerk ermöglicht. Im SQL Server ermöglicht die Injektionslücke CVE-2026-65669 (CVSS 9.6/10) unauthentisierten Angreifern die Rechteausweitung über das Netzwerk. Und mit CVE-2026-80097 (CVSS 8.6/10) ist erstmals in diesem Zyklus auch der Microsoft Authenticator betroffen, dessen fehlerhafte Authentifizierungslogik lokale Rechteausweitung erlaubt – bemerkenswert, weil der Authenticator selbst als Sicherheitsmaßnahme beworben wird. Die folgende Tabelle fasst die wichtigsten Critical-Lücken zusammen.

Priorisierung in der Praxis: Drei-Stufen-Plan für den September-Zyklus

Bei einem Volumen von rund tausend Einträgen ist das schematische Durchpatchen aller Systeme in einer Woche keine realistische Option. Erfahrungsdaten aus dem August-Zyklus zeigen, dass die Zahl der Lücken, die ein konkretes Unternehmen tatsächlich betrifft, meist im zweistelligen Bereich liegt. Empfehlenswert ist ein Drei-Stufen-Plan, der KEV-Einträge, Netzwerk-Exposition und Betriebskritikalität kombiniert.

Stufe 1: KEV-Einträge und exponierte Systeme sofort patchen

Stufe eins umfasst die beiden Zero-Days CVE-2026-81963 und CVE-2026-85880 – hier reicht die KEV-Frist bis zum 22. September 2026, aber die aktive Ausnutzung rechtfertigt ein sofortiges Handeln. Dazu gehören alle Lücken mit unauthentisierter Remote Code Execution auf Systemen mit direkter Internet- oder Segmentgrenz-Exposition: DNS-Server, DHCP-Server, RDS-Hosts und Exchange-Frontends. Für diese Gruppe sind die Updates in dieser Woche einzuspielen; wo das nicht möglich ist, sind kompensierende Maßnahmen wie Filterregeln, das Deaktivieren betroffener Protokolle oder das Abschalten nicht benötigter Dienste zu dokumentieren. Auch der Blick in verwandte KEV-Einträge lohnt: Die Ray-RCE-Lücke CVE-2025-62593 aus der Vorwoche zeigt, wie schnell aus einer Liste gestrichene Systeme durch DNS-Rebinding doch wieder erreichbar werden.

Stufe 2: Kritische Serverdienste und Verwaltungssysteme

Stufe zwei umfasst die Critical-Lücken auf Serverdiensten ohne direkte Exposition: SQL Server, SharePoint, interne RDS-Farmen und Verwaltungs-Workstations. Hier reicht ein rollierendes Deployment im normalen Wartungsfenster, sofern die Systeme durch Segmentierung geschützt sind. Die Fehlerbilder – Use after free, Heap-Überläufe, Injektionslücken – sind identisch mit Stufe eins; der einzige Unterschied ist die geringere Wahrscheinlichkeit eines ersten Zugriffs. Speziell bei Drucker-, Fax- und Storage-Diensten wie den Windows Print Spooler-, Fax Service- und Storage-Port-Komponenten ist zu prüfen, ob die Dienste überhaupt benötigt werden; das Deaktivieren nicht genutzter Features reduziert das Restrisiko dauerhaft. Die September-Liste enthält hier eine ungewöhnlich hohe Dichte an Lücken mit lokaler Rechteausweitung, was kumulative Angriffsketten begünstigt: Erst der Einstieg über eine Netzwerklücke, dann der Sprung auf SYSTEM über eine der vielen EoP-Lücken. Wer Stufe zwei sauber abarbeitet, unterbricht diese Ketten zuverlässig.

Fazit: Zahlen verlieren an Bedeutung – Prozesse entscheiden

Der September-Patchday ist ein Wendepunkt im Patch-Management. Die Rekordzahlen von 966 bis 974 behobenen Lücken zeigen ein grundlegendes Problem: Software-Ökosysteme dieser Größe produzieren Fehler schneller, als klassische Patch-Zyklen sie verarbeiten können. Der Kommentar von Fortra-Forscher Tyler Reguly bringt es auf den Punkt: Solange Hersteller beim Patchen von Schwachstellen hinterherlaufen, verlieren die Zahlen selbst an Bedeutung. Die eigentliche Aufgabe verschiebt sich damit vom Einspielen aller Updates zur Risiko-Priorisierung – Erreichbarkeit, Exposition und Ausnutzungsstatus statt starrer Score-Schwellen. Die gute Nachricht: Die Zahl der Lücken, die tatsächlich aktiv ausgenutzt werden, bleibt mit zwei Zero-Days auch in diesem Rekordmonat überschaubar.

Handlungsempfehlung für die kommende Woche

Konkret bedeutet das für die nächsten Tage: Erstens, die beiden KEV-Zero-Days CVE-2026-81963 und CVE-2026-85880 auf allen Windows-Systemen einschließlich Servern und Verwaltungs-Workstations patchen – idealerweise im Rahmen eines ausgerollten Notfall-Wartungsfensters, nicht erst zum Monatsende. Zweitens, die CVE-Liste der Stufe eins gegen das eigene Asset-Inventar prüfen und Systeme mit DNS-, DHCP-, RDS- und Exchange-Rollen priorisieren. Drittens, bis zum 22. September 2026 die Nachweispflicht für die KEV-Frist erfüllen und dokumentieren. Viertens, das normale Deployment für die restlichen Critical- und Important-Lücken im Zwei-Wochen-Rhythmus fortsetzen – wie beim Umgang mit der Fortinet-Patchwelle im August 2026 hat sich bewährt, die Ausrollung anhand von Komponenten-Rollen zu clustern. Wer diese vier Schritte geht, ist durch den Rekord-September hindurch – und für die nächsten Rekordzyklen, die nach der aktuellen Dynamik sicher kommen werden, bereits vorbereitet.