Microsofts Rekord-Patchday: 974 Schwachstellen, zwei bereits ausgenutzt

Microsoft hat am 8. September 2026 Sicherheitsupdates für die Rekordzahl von 974 Schwachstellen veröffentlicht, der größte einzelne Patchday in der Geschichte des Unternehmens. Zwei der Lücken wurden bereits aktiv ausgenutzt, bevor ein Fix existierte, und 113 Fehler erhielten von Microsoft die Einstufung „kritisch“. Die Veröffentlichung betrifft nahezu jeden Teil des Stacks: Windows, Office, Exchange Server, SharePoint, SQL Server, Hyper-V, Visual Studio und die Cloud-Dienste des Konzerns.

Zum Weiterlesen: Microsofts Patchday im Oktober 2026 stellt mit 1.407 Korrekturen einen Rekord auf · Microsofts August-Patch-Day behob rund 400 Schwachstellen – und ein echtes Feuer.

Für Verteidiger ist die Schlagzeile ebenso alarmierend wie irreführend. Die wirklich dringende Arbeit beschränkt sich in diesem Monat auf eine kleine Gruppe von Lücken, die beiden ausgenutzten Zero-Days, eine Handvoll kritischer Remote-Code-Execution-Fehler und rund 20 als „wurmfähig“ eingestufte Schwachstellen. Der Rest ist ein Priorisierungsproblem, das mit jedem Monat drängender wird und maßgeblich von KI-gestützter Schwachstellensuche angetrieben wird.

Die beiden bereits angegriffenen Lücken

Beide aktiv ausgenutzten Schwachstellen sind Rechteausweitungsfehler, mit denen ein Angreifer auf SYSTEM-Ebene gelangen kann, und Microsoft hat zu beiden nur wenige Details veröffentlicht.

Die erste, CVE-2026-85880, ist ein heapbasierter Pufferüberlauf in der Windows Advanced Local Procedure Call (ALPC). Laut Microsofts Advisory könnte ein Angreifer, der Code in einem AppContainer mit geringen Rechten ausführen kann, die Lücke nutzen, um die Sandbox zu verlassen und seine Rechte zu erhöhen; es sei „No additional user interaction is required“. CISA nahm die Lücke in seinen Katalog bekannter ausgenutzter Schwachstellen auf und setzte US-Bundesbehörden eine Frist bis zum 22. September. Es ist erst der zweite ALPC-Zero-Day, den Microsoft seit Januar 2023 beheben musste.

Die zweite, CVE-2026-81963, ist eine fehlerhafte Linkauflösung („link following“) im Windows Update Stack, also der Komponente, die Updates installiert. Es ist die erste Lücke im Update Stack seit fünf Jahren, bei der Microsoft bestätigt, dass sie ausgenutzt wird. Beide Fehler wurden sowohl externen Forschern als auch Microsofts eigenen Teams zugeschrieben, und beide verleihen SYSTEM-Rechte.

Dustin Childs von der Zero Day Initiative warnte, CVE-2026-81963 werde wahrscheinlich „being combined with a code execution bug to spread malware or ransomware“ (also mit einer Code-Ausführungslücke kombiniert, um Schadsoftware oder Ransomware zu verbreiten) und riet: „Patch this one quickly.“

Woher die 974 kommen

Microsofts Versionshinweise und die Analyse von Qualys gliedern die September-Veröffentlichung in 438 Rechteausweitungsfehler, 253 Remote-Code-Execution-Fehler, 173 Informationsoffenlegungen, 56 Denial-of-Service-Fehler, 19 Umgehungen von Sicherheitsfunktionen und 16 Spoofing-Fehler. Nach Produkten entfallen laut SecurityWeek rund 723 Probleme auf Windows, 222 auf Office (allein 111 in Office 2016), 62 auf SQL Server, 22 auf Entwicklerwerkzeuge, 16 auf SharePoint Server, 12 auf Azure, 10 auf Skype for Business und neun auf Exchange Server.

Diese Verteilung zeigt, wo die Angriffsfläche liegt. Remote Code Execution und Rechteausweitung sind die wichtigsten Kategorien und dominieren die Veröffentlichung. Die beiden ausgenutzten Fehler fallen in die zweite Kategorie, weshalb sie vor allem als zweite Stufe gefährlich sind, nachdem sich ein Angreifer bereits Zutritt verschafft hat.

Jenseits der Zero-Days: Exchange, SharePoint und wurmfähige Fehler

Auch ohne die Zero-Days enthält der September hochpriorisierte Patches, die eingeplant werden müssen statt im Routinebetrieb zu verschwinden.

Der wichtigste ist laut Childs CVE-2026-55007, eine Remote-Code-Execution-Lücke in Exchange Server. Ein nicht authentifizierter Angreifer kann sie auslösen, indem er eine E-Mail mit einem bösartigen Visio-Anhang sendet; der Code wird ausgeführt, wenn der Server den Anhang bei der Inhaltsindizierung verarbeitet, ohne Nutzerinteraktion. Microsoft bezeichnet die Lücke als „difficult to reliably trigger“, doch Childs kontert unverblümt: „The attacker only needs to get it right once. Schedule your downtime and update your Exchange servers with haste.“ Insgesamt hat Microsoft in diesem Monat neun Exchange-Server-Lücken geschlossen.

Ebenfalls von Forschern hervorgehoben: CVE-2026-80097, eine lokale Rechteausweitung in Microsoft Authenticator, die Childs als schlimmste Art der Rechteausweitung bezeichnete, weil sie das Authentifizierungssystem selbst ausnutzt; CVE-2026-69465, eine von rund 17 verschiedenen SharePoint-Lücken, die Remote-Code-Execution ermöglichen; und CVE-2026-65669, einer von etwa 60 SQL-Server-Rechteausweitungsfehlern, die sich über SQL Copilot auslösen lassen. Ars Technica hat die Höhepunkte zusammengestellt.

Childs zählt in diesem Monat 20 „wurmfähige“ Lücken, also remote ausnutzbar ohne Authentifizierung oder Nutzerinteraktion. Mehrere tragen einen nahezu maximalen CVSS-Wert von 9,8, darunter Fehler in Windows DNS Server, DHCP Server, Remote Desktop Services, dem NFS-Treiber und der Windows-Shell. Diese Fehlerklasse macht aus einem monatlichen Patchzyklus ein echtes Wartungsfenster statt einer Pflichtübung.

Das KI-Mengenproblem

Der wichtigste Kontext für die September-Zahl ist, dass sie keine Ausnahme ist. Microsofts Monatszahlen sind im Jahr 2026 explodiert: von damals rekordverdächtigen rund 200 Lücken im Juni über etwa 570 im Juli und rund 400 im August bis nun 974 im September. Nach Zählung von Krebs on Security kommt Microsoft damit 2026 auf mehr als 2.600 Lücken, mehr als das Doppelte des bisherigen Jahresrekords von 1.245 aus dem Jahr 2020, und das drei Monate vor Jahresende.

Microsoft ist beim Grund ungewöhnlich offen. In einem Blogbeitrag vom Juli sagte Executive Vice President Pavan Davuluri den Windows-Nutzern, sie sollten „a higher volume of security updates included in each security release“ erwarten, weil KI die Entdeckung von Schwachstellen beschleunige. Das Unternehmen hat KI-gestützte Entdeckungssysteme im Einsatz, und die Ergebnisse sind an den Patchzahlen ablesbar.

Die Sicherheitsbranche streitet noch darüber, was das bedeutet. Satnam Narang von Tenable lieferte die meistzitierte Einordnung des Monats: „AI-assisted vulnerability discovery in 2026 is creating larger haystacks, but it isn't finding more needles.“ Sein Punkt: Die meisten der 974 Lücken werden für eine bestimmte Organisation nie relevant sein, weil sie in dieser Umgebung nicht erreichbar oder ausnutzbar sind.

Childs zieht eine ähnliche, aber vorsichtigere Schlussfolgerung. „AI-assisted vulnerability discovery shows no signs of slowing down“, schrieb er. „However, we have not seen a correlating spike in active exploits—yet.“

Das KI-Thema beschränkt sich nicht auf die Schwachstellensuche. Am selben Tag wie der Patchday veröffentlichte das Microsoft-Edge-Team einen Beitrag, in dem es beschrieb, wie KI-gestütztes Programmieren einen Anstieg der zur Prüfung eingereichten Browser-Erweiterungen ausgelöst hat. The Register berichtete, das Team räume ein, seine Prüfpipeline „experiencing additional strain“ (also zusätzlich belastet) und reagiere mit mehr Automatisierung wiederkehrender Prüfungen. Es ist das zweite Microsoft-Team binnen eines Monats, das erklärt, KI-generierte Ergebnisse überforderten seine Kapazität: Das Exchange-Team hatte bereits ein Cumulative Update verschoben, weil KI-gestützte Suche mehr Fehler zutage förderte, als es verarbeiten konnte.

Die operative Realität von 974 Patches

Für die meisten Heimanwender bleibt die Antwort dieselbe wie immer: Windows Update laufen lassen. Die größere Frage ist, was Unternehmen mit einem Monat machen, der ihnen fast tausend Fehler auf einmal aufbürdet.

Das Testen bleibt der Engpass. Anders als Verbraucher können Unternehmen Updates nicht einfach installieren und weitermachen, weil Third-Party-Software bei Änderungen am zugrunde liegenden Betriebssystem oft bricht. Tyler Reguly von Fortra brachte das auf den Punkt: „It's time to put our CISOs and CSOs on notice... How are you helping your teams through these difficult times?“ Viele Administratoren würden außerhalb der Arbeitszeiten und am Wochenende patchen, um Störungen zu begrenzen, sagte er und schlug als Lösung „gift cards for extra coffee“ vor, ein Satz, der vor allem deshalb komisch ist, weil er stimmt.

Der sich abzeichnende Konsens unter Verteidigern lautet, den Patchday nicht länger als eine einzige Warteschlange zu behandeln und stattdessen nach Erreichbarkeit und Ausnutzbarkeit statt nach reiner Schwere zu priorisieren. Die beiden ausgenutzten Zero-Days und die Exchange-Lücke kommen zuerst; der Rest wird danach sortiert, ob der betroffene Dienst tatsächlich exponiert ist. Microsofts Ausnutzbarkeitsbewertungen, für eine Welt menschlicher Forscher entwickelt, halten mit der KI-getriebenen Entdeckung nicht Schritt, und Analysten kritisieren die Annahmen des Modells.

Auch die Folgen reichen weiter. Mit wachsenden Patchmengen hat sich Microsoft von den vollständigen CVE-Listen entfernt, auf die sich manche Verteidiger verließen, hin zu einer Übersichtstabelle plus einem Abschnitt „Notable CVEs“, eine Änderung, die Drittanbieter-Tracker wichtiger statt überflüssiger macht. Und die schiere Größe hat andere Anbieter zu schnelleren Zyklen bewegt: Google liefert Chrome-Sicherheitsupdates inzwischen alle zwei Wochen, Adobe ist zu zweiwöchentlichen Bulletins übergegangen.

Vorbehalte und das Zählproblem

Wer für den September eine einzelne Zahl nennt, sollte das mit Vorsicht tun. Microsofts Versionshinweise, die Zero Day Initiative, Qualys, The Register und Krebs on Security nennen 974. BleepingComputer zählt 966, weil dort nur Fehler gezählt werden, die Microsoft am Patchday selbst veröffentlicht hat; die 204 bereits früher im September behobenen Lücken in Azure, Entra ID, Edge und anderen Diensten bleiben außen vor. Ars Technica nennt rund 972. Die Spanne spiegelt echte Unterschiede darin wider, was gezählt wird, nicht Uneinigkeit über das Ausmaß.

Zwei weitere Vorbehalte. Erstens ist nicht jede Lücke des Stapels remote ausnutzbar; ein großer Teil sind lokale Rechteausweitungsfehler, die voraussetzen, dass ein Angreifer bereits einen Zugang hat. Zweitens ist die erwartete Flut KI-gestützter Angriffe noch nicht mit voller Wucht eingetreten. Die Angst ist asymmetrisch: Die Entdeckungsseite arbeitet bereits mit Maschinengeschwindigkeit, die Ausnutzungsseite bislang nicht.

Was zu beobachten ist

Drei Dinge werden entscheiden, ob der September als Rekord oder als neue Normalität in Erinnerung bleibt.

Erstens, ob der Ausnutzung dem Umfang folgt. Wenn Angreifer beginnen, KI-entdeckte Lücken im großen Stil zu weaponisieren, wird der Fall für schnelleres Patchen weit dringlicher. Childs' „yet“ leistet dabei viel Arbeit.

Zweitens, ob Microsofts Triage- und Offenlegungspraktiken mithalten. Das Unternehmen strafft bereits, wie viele Details es veröffentlicht; der Preis dafür ist, dass Verteidiger stärker von Aggregatoren und Expositionsdaten abhängen, die kleinere Teams womöglich nicht haben.

Drittens, ob Regulierer und Unternehmen ihre Patchfenster anpassen. US-Bundesbehörden haben unter CISA-Richtlinie eine Frist bis zum 22. September für die beiden Zero-Days, doch die meisten privaten Organisationen setzen ihre eigenen Zeitpläne, und ein Monatszyklus, der für ein paar hundert Fehler gebaut wurde, wirkt bei fast tausend zunehmend überlastet.

Der Rekord ist real, und die Arbeitslast ebenso. Für Verteidiger besteht die Aufgabe in diesem Monat nicht darin, 974 Dinge zu patchen. Sondern die Handvoll zu finden, die zählt, und den Rest auf einen Zeitplan zu setzen.

Titelbild: Gebäude 92 am Microsoft-Hauptsitz in Redmond, fotografiert von Coolcaesar (Wikimedia Commons), lizenziert unter CC BY-SA 4.0; auf 16:9 zugeschnitten.