Der September 2026 bringt einen außergewöhnlichen Patch Tuesday für Microsoft. Am 8. September hat das Unternehmen Sicherheitsupdates für eine rekordverdächtige Zahl von Schwachstellen veröffentlicht. Je nach Zählweise werden 966 bis 974 Sicherheitslücken genannt. Mehrere Sicherheitsunternehmen und Fachmedien führen 974 Schwachstellen für die September-Veröffentlichung auf.
Besonders kritisch: Zwei der behobenen Windows-Schwachstellen wurden bereits aktiv ausgenutzt, bevor die Sicherheitsupdates verfügbar waren.
Für Unternehmen geht es deshalb nicht nur um ein gewöhnliches monatliches Update. Windows-Clients, Server und zentrale Microsoft-Systeme sollten jetzt priorisiert geprüft und aktualisiert werden.
Und die Geschichte ist noch nicht beendet: Nach dem September-Patch wurden bei bestimmten Windows-Versionen Probleme mit Remote Desktop, Hyper-V-basierten Linux-VMs und USB-Audiogeräten bekannt. Microsoft hat deshalb bereits ein zusätzliches Out-of-Band-Update veröffentlicht.
Das Wichtigste zum Microsoft Patch Tuesday im September 2026
Wer für die IT-Sicherheit eines Unternehmens verantwortlich ist, sollte vor allem diese Punkte kennen:
- Microsoft hat im September eine rekordverdächtige Zahl an Sicherheitslücken geschlossen.
- Zwei Windows-Schwachstellen wurden bereits aktiv ausgenutzt.
- Betroffen sind unter anderem Windows, Office, SQL Server, Exchange und weitere Microsoft-Produkte.
- Ein großer Teil der Schwachstellen betrifft Windows-Komponenten.
- Unternehmen sollten die beiden aktiv ausgenutzten Zero-Days besonders schnell priorisieren.
- Nach der Installation des September-Updates müssen bestimmte Systeme zusätzlich auf mögliche Funktionsprobleme geprüft werden.
- Für einige Windows-Versionen steht bereits ein Out-of-Band-Update zur Verfügung.
Warum der September Patch Tuesday 2026 so besonders ist
Die Anzahl der Sicherheitslücken macht den September-Patch zu einem außergewöhnlichen Update-Zyklus.
Microsoft hat in diesem Monat eine sehr große Zahl von Schwachstellen gleichzeitig geschlossen. Sicherheitsforscher berichten dabei je nach Zählmethode von unterschiedlichen Gesamtwerten. Während einige Auswertungen 966 oder 973 CVEs nennen, berichten andere von 974 behobenen Schwachstellen.
Für Unternehmen ist die exakte Differenz zwischen diesen Zählungen weniger wichtig als die Konsequenz:
Die Zahl der Updates ist außergewöhnlich hoch und die beiden aktiv ausgenutzten Windows-Schwachstellen erfordern besondere Aufmerksamkeit.
Dabei sollte die IT-Abteilung nicht versuchen, einfach alle Patches blind gleichzeitig auf sämtliche Systeme zu verteilen.
Entscheidend ist eine risikobasierte Priorisierung.
Zwei Zero-Days sind bereits in freier Ausnutzung
Besonders relevant sind zwei Windows-Schwachstellen:
- CVE-2026-85880
- CVE-2026-81963
Beide Schwachstellen ermöglichen eine lokale Rechteausweitung und wurden laut Sicherheitsmeldungen bereits aktiv ausgenutzt.
Das ist ein wesentlicher Unterschied zu einer Schwachstelle, für die lediglich theoretische Angriffsmöglichkeiten bekannt sind.
Bei einem aktiv ausgenutzten Zero-Day gibt es bereits Hinweise darauf, dass Angreifer die Schwachstelle tatsächlich verwenden.
CVE-2026-85880: Windows Advanced Local Procedure Call
CVE-2026-85880 betrifft den Windows Advanced Local Procedure Call, kurz ALPC.
Die Schwachstelle wird als Heap-basierter Buffer Overflow beschrieben und kann einem autorisierten lokalen Angreifer eine Rechteausweitung ermöglichen. Die veröffentlichte CVSS-Bewertung liegt bei 7,8.
Für Unternehmen ist insbesondere relevant, dass die Schwachstelle bereits vor dem Sicherheitsupdate aktiv ausgenutzt wurde.
Microsoft hat die Schwachstelle entsprechend in den September-Sicherheitsupdates berücksichtigt.
CVE-2026-81963: Windows Update Stack
Die zweite aktiv ausgenutzte Schwachstelle betrifft den Windows Update Stack.
CVE-2026-81963 ermöglicht unter bestimmten Voraussetzungen eine lokale Rechteausweitung. Die Schwachstelle betrifft unter anderem aktuelle Versionen von Windows 11 und Windows Server 2025.
Auch diese Schwachstelle wird mit einem CVSS-Wert von 7,8 bewertet.
Besonders relevant ist, dass CISA die Schwachstelle in den Katalog der bekannten, aktiv ausgenutzten Schwachstellen aufgenommen hat.
Warum lokale Rechteausweitung für Unternehmen gefährlich ist
Eine Local Privilege Escalation klingt zunächst weniger gefährlich als eine Schwachstelle, über die ein Angreifer direkt aus dem Internet einen Server übernehmen kann.
In einer realen Unternehmensumgebung kann eine solche Schwachstelle jedoch Teil einer Angriffskette sein.
Ein mögliches Szenario sieht vereinfacht so aus:
Erster Zugriff
↓
Ausführung von Schadcode oder kompromittierter Benutzerzugang
↓
Ausnutzung einer Rechteausweitung
↓
höhere lokale Berechtigungen
↓
weitere Aktionen innerhalb des Systems
↓
mögliche laterale Bewegung
Deshalb sollte die Bewertung einer Schwachstelle nicht ausschließlich auf dem CVSS-Wert basieren.
Entscheidend ist auch:
- Wird die Schwachstelle bereits ausgenutzt?
- Welche Systeme sind betroffen?
- Sind diese Systeme aus dem Internet erreichbar?
- Welche Benutzer greifen darauf zu?
- Welche Rechte besitzt ein kompromittiertes Konto?
- Ist das System Teil einer kritischen Infrastruktur?
- Welche weiteren Schutzmechanismen sind vorhanden?
Welche Microsoft-Produkte sind betroffen?
Der September-Patch betrifft nicht nur Windows 11.
Die Sicherheitsupdates erstrecken sich über verschiedene Bereiche des Microsoft-Ökosystems.
Dazu gehören unter anderem:
- Windows 10 und Windows 11
- Windows Server
- Microsoft Office
- Exchange Server
- SQL Server
- Entwicklerwerkzeuge
- weitere Microsoft-Komponenten
Eine Auswertung von The Hacker News nennt unter anderem 723 Windows-Schwachstellen, 111 Schwachstellen in Office beziehungsweise Office 2016, 62 in SQL und 22 in Developer Tools.
Für Unternehmen bedeutet das: Eine reine Prüfung der Arbeitsplatz-PCs reicht nicht aus.
Auch Server und zentrale Microsoft-Dienste müssen in die Bewertung einbezogen werden.
Besonders wichtig: Windows Server nicht vergessen
In vielen Unternehmen liegt der Fokus bei Patch Tuesday zunächst auf Windows-Clients.
Das kann gefährlich sein.
Server haben häufig wesentlich größere Auswirkungen auf die gesamte IT-Umgebung.
Besonders kritisch sind beispielsweise:
- Domain Controller
- Active-Directory-Systeme
- File Server
- SQL Server
- Exchange Server
- Remote-Desktop-Server
- Applikationsserver
- Hyper-V-Hosts
- Management-Systeme
Ein kompromittierter Server kann wesentlich größere Auswirkungen haben als ein einzelner Arbeitsplatzrechner.
Was Unternehmen jetzt tun sollten
Die wichtigste Frage lautet nicht:
„Wie installieren wir möglichst schnell 974 Updates?“
Sondern:
„Welche Systeme sind tatsächlich gefährdet und welche Updates müssen zuerst installiert werden?“
Ein sinnvolles Vorgehen kann in mehreren Schritten erfolgen.
1. Betroffene Systeme identifizieren
Zunächst sollte eine vollständige Übersicht erstellt werden.
Dazu gehören:
- Windows-Versionen
- Windows-Server-Versionen
- virtuelle Maschinen
- physische Server
- Domain Controller
- Office-Versionen
- Exchange Server
- SQL Server
- Remote-Desktop-Systeme
- internetexponierte Systeme
Ohne zuverlässiges Asset Management ist eine vollständige Patch-Strategie kaum möglich.
2. Die beiden aktiv ausgenutzten Zero-Days priorisieren
CVE-2026-85880 und CVE-2026-81963 sollten bei betroffenen Systemen besonders schnell behandelt werden.
Dabei sollte geprüft werden, welche Windows-Versionen im Unternehmen eingesetzt werden und ob die jeweiligen Systeme durch die September-Updates abgedeckt sind.
3. Kritische Server zuerst bewerten
Bei Servern sollte zusätzlich berücksichtigt werden, wie wichtig die jeweilige Funktion für den Geschäftsbetrieb ist.
Ein Patch auf einem Testserver hat eine andere Priorität als ein Patch auf einem zentralen Domain Controller.
4. Updates testen
Auch bei kritischen Sicherheitsupdates bleibt ein kontrollierter Test wichtig.
Eine mögliche Reihenfolge:
Testsysteme → ausgewählte Clients → unkritische Server → kritische Server
Bei aktiv ausgenutzten Schwachstellen sollte die Testphase jedoch nicht unnötig verlängert werden.
5. Nach der Installation prüfen
Nach einem Patch sollte nicht nur kontrolliert werden, ob Windows „aktuell“ anzeigt.
Auch wichtige Funktionen müssen getestet werden.
Beispielsweise:
- Anmeldung
- Netzwerkzugriff
- DNS
- Active Directory
- Gruppenrichtlinien
- Remote Desktop
- Hyper-V
- Datei-Freigaben
- VPN
- Veeam Backup
- Monitoring
- Unternehmensanwendungen
Genau dieser Punkt ist im September 2026 besonders relevant.
Microsoft musste nach dem Patch bereits nachbessern
Der September-Patch zeigt eine wichtige Realität moderner Patch-Management-Prozesse:
Ein Sicherheitsupdate kann dringend notwendig sein und gleichzeitig neue technische Probleme verursachen.
Nach der September-Veröffentlichung wurden unter anderem Probleme mit Remote Desktop Services, freigegebenen Ordnern in Hyper-V-basierten Linux-VMs und bestimmten USB-Audiogeräten gemeldet. Microsoft reagierte darauf mit Out-of-Band-Updates.
Das bedeutet für Unternehmen:
Patchen ist wichtig.
Aber Patchen ohne anschließende Funktionskontrolle ist ebenfalls keine vollständige Strategie.
Was ist das neue Out-of-Band-Update?
Microsoft hat am 14. September 2026 beziehungsweise kurz danach zusätzliche Updates veröffentlicht, um Probleme aus dem September-Update zu beheben.
Betroffen waren unter anderem Windows-11-Versionen 24H2 und 25H2 sowie weitere unterstützte Windows-Versionen und Server-Systeme. Die Updates adressieren unter anderem Probleme mit Remote Desktop Services und Hyper-V-basierten Linux-VMs.
Für Unternehmen bedeutet das:
Nicht nur die ursprünglichen September-Sicherheitsupdates sollten geprüft werden. Auch die nachfolgenden Out-of-Band-Fixes gehören jetzt in den Patch-Management-Prozess.
Hyper-V-Umgebungen besonders prüfen
Unternehmen mit Hyper-V sollten nach dem September-Patch insbesondere prüfen, ob Linux-VMs weiterhin wie erwartet auf gemeinsam genutzte Ordner zugreifen können.
Gerade in virtualisierten Rechenzentren können kleine Änderungen an Host-Komponenten Auswirkungen auf mehrere virtuelle Maschinen haben.
Deshalb sollte nach einem Host-Update geprüft werden:
- Starten alle VMs?
- Funktionieren Netzwerkverbindungen?
- Funktionieren Storage-Zugriffe?
- Sind Shared Folders verfügbar?
- Funktionieren Backup-Jobs?
- Funktionieren Monitoring und Management?
- Sind Linux-VMs korrekt erreichbar?
Das ist besonders wichtig, wenn Hyper-V eine zentrale Rolle in der Unternehmensinfrastruktur spielt.
Remote Desktop nach dem September-Patch prüfen
Remote Desktop Services sind in vielen Unternehmen ein wichtiger Bestandteil der Administration und des täglichen Betriebs.
Probleme mit RDP können deshalb weitreichende Auswirkungen haben.
Nach dem Patch sollte geprüft werden:
- Funktionieren neue RDP-Verbindungen?
- Können Administratoren sich anmelden?
- Werden Sitzungen korrekt aufgebaut?
- Bleiben bestehende Sitzungen stabil?
- Funktionieren RDS-Rollen und Lizenzierung?
- Sind zentrale Server weiterhin remote erreichbar?
Microsoft hat auf entsprechende Probleme mit einem Out-of-Band-Update reagiert.
Patch Management darf nicht nur aus „Installieren“ bestehen
Der September 2026 zeigt sehr deutlich, warum ein professioneller Patch-Prozess mehr umfasst als Windows Update.
Ein vollständiger Prozess besteht idealerweise aus:
Inventarisierung
↓
Risikoanalyse
↓
Priorisierung
↓
Test
↓
Deployment
↓
Funktionsprüfung
↓
Monitoring
↓
Dokumentation
Dabei sollten nicht alle Systeme identisch behandelt werden.
Ein öffentlich erreichbarer Server mit kritischer Anwendung kann beispielsweise eine höhere Priorität besitzen als ein isolierter Arbeitsplatzrechner.
Wie schnell sollten Unternehmen patchen?
Bei einer aktiv ausgenutzten Zero-Day-Schwachstelle sollte nicht bis zum nächsten regulären Wartungsfenster gewartet werden, wenn das betroffene System geschäftskritisch oder exponiert ist.
Die konkrete Geschwindigkeit hängt jedoch von der Umgebung ab.
Besonders schnell sollten Unternehmen reagieren, wenn:
- die Schwachstelle bereits aktiv ausgenutzt wird
- das System aus dem Internet erreichbar ist
- das System privilegierte Aufgaben erfüllt
- sensible Daten verarbeitet werden
- keine zusätzlichen Schutzmaßnahmen vorhanden sind
- das System eine zentrale Infrastrukturrolle besitzt
Die beiden September-Zero-Days wurden bereits als aktiv ausgenutzt gemeldet.
Patch Tuesday ist auch ein Backup-Thema
Ein häufig übersehener Punkt:
Vor umfangreichen Änderungen an kritischen Servern sollte die Wiederherstellbarkeit geprüft werden.
Ein Backup allein reicht dabei nicht.
Die IT-Abteilung sollte wissen:
- Wann wurde das letzte erfolgreiche Backup erstellt?
- Ist das Backup konsistent?
- Kann ein Server wiederhergestellt werden?
- Gibt es einen getesteten Recovery-Prozess?
- Wie lange dauert die Wiederherstellung?
- Sind Backup-Systeme von der Produktionsumgebung getrennt?
Gerade bei Domain Controllern, Datenbanken und geschäftskritischen Anwendungen sollte die Recovery-Strategie dokumentiert sein.
Was tun, wenn ein Patch Probleme verursacht?
Wenn ein Sicherheitsupdate nach der Installation eine kritische Funktion beeinträchtigt, sollte nicht automatisch sofort deinstalliert werden.
Zunächst sollte geprüft werden:
- Ist das Problem tatsächlich durch das Update entstanden?
- Gibt es bereits ein bekanntes Microsoft-Problem?
- Gibt es ein Out-of-Band-Update?
- Welche Systeme sind betroffen?
- Gibt es einen offiziellen Workaround?
- Welche Sicherheitslücke würde durch eine Deinstallation wieder offenstehen?
Im September 2026 ist genau diese Situation relevant, weil Microsoft bereits zusätzliche Updates zur Behebung bestimmter Nebenwirkungen veröffentlicht hat.
Warum die Zahl der Sicherheitslücken allein wenig über das Risiko aussagt
974 Schwachstellen klingen zunächst überwältigend.
Für eine IT-Abteilung ist diese Zahl allein jedoch keine ausreichende Entscheidungsgrundlage.
Ein einzelnes aktiv ausgenutztes Problem auf einem öffentlich erreichbaren Server kann wichtiger sein als hundert Schwachstellen auf isolierten Systemen.
Deshalb sollte die Priorisierung mindestens folgende Faktoren berücksichtigen:
| Faktor | Bedeutung |
|---|---|
| Aktive Ausnutzung | Sehr hohe Priorität |
| Internet-Erreichbarkeit | Erhöht das Risiko |
| Kritische Infrastrukturrolle | Hohe Priorität |
| Sensible Daten | Hohe Priorität |
| Privilege Escalation | Relevant für Angriffsketten |
| Remote Code Execution | Besonders kritisch |
| Exploit verfügbar | Priorität steigt |
| Isoliertes Testsystem | Geringere unmittelbare Auswirkung |
Die CVSS-Bewertung ist dabei ein wichtiger Faktor, sollte aber nicht die einzige Grundlage für die Entscheidung sein.
Die Rolle von Microsoft Defender und Endpoint Security
Patch Management und Endpoint Security sollten zusammen gedacht werden.
Ein ungepatchtes System kann durch zusätzliche Schutzmechanismen weiterhin besser abgesichert sein als ein ungeschütztes System.
Das bedeutet jedoch nicht, dass Sicherheitssoftware ein fehlendes Patch ersetzen kann.
Unternehmen sollten daher verschiedene Ebenen kombinieren:
- Sicherheitsupdates
- Endpoint Protection
- EDR
- Firewall
- MFA
- Least Privilege
- Netzwerksegmentierung
- Monitoring
- Backup
- Incident Response
Ein Patch schließt eine Schwachstelle.
Eine mehrschichtige Sicherheitsarchitektur reduziert zusätzlich die Wahrscheinlichkeit, dass ein einzelner Fehler unmittelbar zu einem größeren Sicherheitsvorfall führt.
Was IT-Administratoren am 16. September 2026 prüfen sollten
Für Unternehmen ergibt sich aus dem aktuellen Patch-Zyklus eine praktische Checkliste:
Sofort prüfen
- Windows-Clients auf September-Updates prüfen
- Windows Server überprüfen
- CVE-2026-85880 berücksichtigen
- CVE-2026-81963 berücksichtigen
- Internetexponierte Systeme priorisieren
- Domain Controller prüfen
- Exchange und SQL Server prüfen
- Hyper-V-Umgebungen testen
- Remote Desktop Services prüfen
- Backup-Jobs kontrollieren
Danach
- Out-of-Band-Updates prüfen
- betroffene Systeme erneut testen
- Monitoring auf ungewöhnliche Aktivitäten überprüfen
- Patch-Status dokumentieren
- Systeme ohne erfolgreichen Patch identifizieren
- Ausnahmen begründen und zeitlich begrenzen
Häufig gestellte Fragen zum Microsoft Patch Tuesday September 2026
Wie viele Sicherheitslücken hat Microsoft im September 2026 geschlossen?
Je nach Zählmethode berichten Sicherheitsanbieter und Fachmedien von 966 bis 974 Schwachstellen. Mehrere aktuelle Auswertungen nennen 974 Schwachstellen. Entscheidend für Unternehmen ist vor allem, dass es sich um den bislang außergewöhnlich großen Patch-Zyklus handelt.
Welche Zero-Days wurden im September 2026 behoben?
Microsoft hat unter anderem die aktiv ausgenutzten Schwachstellen CVE-2026-85880 und CVE-2026-81963 behoben. Beide ermöglichen unter bestimmten Voraussetzungen eine lokale Rechteausweitung.
Sind die September-Zero-Days bereits aktiv ausgenutzt worden?
Ja. Beide genannten Windows-Schwachstellen wurden als aktiv ausgenutzt gemeldet.
Betrifft der Patch Tuesday nur Windows 11?
Nein. Die September-Sicherheitsupdates betreffen zahlreiche Microsoft-Produkte und Komponenten, darunter Windows, Office, SQL Server, Exchange und weitere Produkte.
Muss das September-Update sofort installiert werden?
Bei aktiv ausgenutzten Schwachstellen sollte die Installation betroffener Sicherheitsupdates entsprechend der Risikobewertung möglichst schnell erfolgen. Unternehmen sollten gleichzeitig die eigenen Test-, Backup- und Recovery-Prozesse berücksichtigen.
Gibt es nach dem September-Patch weitere Updates?
Ja. Microsoft hat zusätzliche Out-of-Band-Updates veröffentlicht, um unter anderem Probleme mit Remote Desktop Services und Hyper-V-basierten Linux-VMs zu beheben.
Was sollten Unternehmen jetzt zuerst tun?
Zunächst sollte die eigene Systemlandschaft erfasst werden. Anschließend sollten die beiden aktiv ausgenutzten Zero-Days, exponierte Systeme und kritische Server priorisiert werden. Nach der Installation sollten wichtige Funktionen und die Verfügbarkeit der Systeme überprüft werden.
Fazit: Der September Patch Tuesday 2026 ist mehr als ein gewöhnlicher Patch-Zyklus
Der Microsoft Patch Tuesday im September 2026 ist außergewöhnlich groß und gleichzeitig sicherheitsrelevant.
Die Zahl von bis zu 974 behobenen Schwachstellen ist beeindruckend. Für Unternehmen entscheidender sind jedoch die zwei bereits aktiv ausgenutzten Windows-Zero-Days CVE-2026-85880 und CVE-2026-81963.
Gleichzeitig zeigt der aktuelle Patch-Zyklus, dass schnelles Patchen und kontrolliertes Patch Management kein Widerspruch sein müssen.
Unternehmen sollten die kritischen Sicherheitsupdates möglichst schnell behandeln, aber anschließend ebenso konsequent prüfen, ob geschäftskritische Funktionen weiterhin funktionieren.
Besonders wichtig sind dabei Windows Server, Domain Controller, Remote Desktop, Hyper-V, SQL Server, Exchange und internetexponierte Systeme.
Und noch ein Punkt darf nicht übersehen werden:
Der September-Patch ist noch nicht vollständig abgeschlossen.
Durch die nachfolgenden Out-of-Band-Updates müssen Unternehmen ihren Patch-Status erneut überprüfen und feststellen, ob zusätzliche Korrekturen für die eigene Umgebung erforderlich sind.
Für IT-Verantwortliche lautet die wichtigste Aufgabe deshalb nicht einfach „alle Updates installieren“.
Sie lautet:
Betroffene Systeme identifizieren, aktiv ausgenutzte Schwachstellen priorisieren, Updates kontrolliert ausrollen und anschließend die gesamte Infrastruktur auf Sicherheit und Funktion prüfen.
