Der Patchday im September 2026 sprengt alle bisherigen Rekorde. Microsoft hat am 8. September Sicherheitsupdates für 964 Schwachstellen veröffentlicht – so viele wie nie zuvor an einem einzigen Patch Tuesday. Darunter sind 104 als „kritisch“ eingestufte Lücken und, besonders brisant, zwei Zero-Day-Schwachstellen, die bereits aktiv von Angreifern ausgenutzt werden.

Für Unternehmen bedeutet das: Jetzt ist nicht der Moment, das Einspielen der Updates auf die lange Bank zu schieben.

Die zwei Zero-Days im Detail

Beide aktiv ausgenutzten Lücken sind lokale Rechteausweitungen (Elevation of Privilege), mit denen ein Angreifer, der bereits Zugriff auf ein Gerät hat, SYSTEM-Rechte erlangen kann – also die volle Kontrolle über den Rechner.

• CVE-2026-81963 betrifft den Windows Update Stack. Durch eine fehlerhafte Prüfung von Dateipfaden („Link Following“) kann ein Angreifer Windows dazu bringen, die falsche Datei zu öffnen oder zu verändern.
• CVE-2026-85880 liegt im Windows Advanced Local Procedure Call (ALPC) und erlaubt es, aus einer eingeschränkten AppContainer-Umgebung auszubrechen und Systemrechte zu erlangen – ganz ohne weitere Nutzerinteraktion.

Keine der beiden Lücken ermöglicht für sich allein einen Fernzugriff. In der Praxis werden solche Schwachstellen aber gern im zweiten Schritt genutzt: Nachdem sich Angreifer etwa über Phishing oder gestohlene Zugangsdaten bereits Zutritt verschafft haben, dient die Rechteausweitung dazu, sich im System festzusetzen.

Weitere kritische Lücken, die Priorität verdienen

Neben den Zero-Days sticht vor allem eine kritische Schwachstelle in Windows Kerberos (CVSS 8.8) hervor: Über einen sogenannten Capture-Replay-Angriff könnte ein Angreifer mit niedrigen Rechten die Authentifizierung umgehen und beliebigen Code ausführen. Microsoft stuft eine Ausnutzung als „wahrscheinlicher“ ein.

Auch folgende Bereiche sind betroffen und sollten zeitnah aktualisiert werden:

• Exchange Server – Rechteausweitung sowie eine Schwachstelle mit Risiko für Remote Code Execution
• SharePoint Server – Remote Code Execution
• SQL Server – Rechteausweitung
• Remote Desktop Services – Remote Code Execution
• Microsoft Office (Outlook, Word, Excel, PowerPoint) – mehrere kritische Lücken, von denen ein Teil bereits beim bloßen Öffnen der Vorschau in Outlook oder im Explorer ausgelöst werden kann, ganz ohne Klick oder Makro

Gerade der letzte Punkt ist praxisrelevant: Eine aktivierte Vorschau kann hier schon ausreichen, damit Schadcode ausgeführt wird.

Nicht nur Microsoft: Auch Browser und Adobe ziehen nach

Der Patchday betrifft in der Praxis selten nur ein Produkt – und auch im September 2026 lohnt der Blick über Windows hinaus:

• Google Chrome: Bereits kurz vor dem eigentlichen Patchday hat Google mit CVE-2026-85046 die inzwischen sechste aktiv ausgenutzte Zero-Day-Lücke des Jahres 2026 in Chrome geschlossen. Der Fehler liegt in der JavaScript-Engine V8 und lässt sich über eine präparierte Webseite ausnutzen, um Schadcode innerhalb der Browser-Sandbox auszuführen. Betroffen sind alle Chrome-Versionen vor 152.0.7977.82/.83 – ein guter Anlass, den automatischen Update-Mechanismus im Browser zu überprüfen, statt sich blind darauf zu verlassen.
• Adobe: Auch Adobe hat zum September-Patchday ein umfangreiches Update-Paket mit über 170 behobenen Schwachstellen veröffentlicht, verteilt über mehrere Produktlinien. Wer Acrobat, Reader oder andere Adobe-Anwendungen im Unternehmen einsetzt, sollte auch hier zeitnah aktualisieren – gerade PDF-Werkzeuge sind ein beliebtes Einfallstor, da präparierte Dokumente oft ohne große Hürden per E-Mail verschickt werden.

Für Unternehmen zeigt das: Ein reines Windows-Patchmanagement greift zu kurz. Browser und Drittanbieter-Software wie Adobe gehören ebenso in den monatlichen Update-Zyklus wie die Betriebssystem- und Office-Patches von Microsoft.

Was das für Ihr Unternehmen bedeutet

Ein Update-Paket dieser Größenordnung lässt sich nicht mit der Gießkanne einspielen. Sinnvoll ist ein gestuftes Vorgehen:

1. Zero-Days und kritische RCE-Lücken zuerst – insbesondere auf Servern mit Exchange, SharePoint oder Remote Desktop Services.
2. Office- und Client-Updates zügig nachziehen, da hier bereits das Öffnen einer Vorschau ein Risiko darstellen kann.
3. Vor dem breiten Rollout testen, etwa in einer Testgruppe, um Kompatibilitätsprobleme frühzeitig zu erkennen.
4. Restart-Bedarf einplanen: Anders als bei den sogenannten Hotpatch-Updates der letzten Monate ist für dieses Update auf allen Geräten – auch hotpatch-fähigen – ein Neustart erforderlich.

Wer Windows- oder Exchange-Server im eigenen Haus betreibt, sollte das Patchmanagement in den kommenden Tagen priorisieren. Bei Unsicherheit, welche Systeme im eigenen Unternehmen betroffen sind oder wie sich ein reibungsloser Rollout organisieren lässt, unterstützen wir Sie gerne – von der Priorisierung bis zum kontrollierten Ausrollen der Updates.

Automatisiertes Patchmanagement: Absicherung, ohne selbst nachzuhalten

Genau für Situationen wie den September-Patchday haben wir unser Patchmanagement automatisiert: Kritische und sicherheitsrelevante Updates – ob für Windows, Office, Exchange oder Drittanbieter-Software wie Browser und Adobe-Produkte – werden von unserem System erkannt, priorisiert und automatisch ausgerollt, ohne dass jemand in Ihrem Unternehmen den Überblick über hunderte CVEs behalten muss.

Das bedeutet konkret:

• Kritische Lücken und aktiv ausgenutzte Zero-Days werden automatisch mit hoher Priorität eingespielt – oft innerhalb von Stunden statt Tagen.
• Updates laufen kontrolliert und getestet aus, sodass Kompatibilitätsprobleme nicht erst im produktiven Betrieb auffallen.
• Sie behalten jederzeit den Überblick, welche Systeme bereits abgesichert sind und wo noch Handlungsbedarf besteht.

Das Ergebnis: Ihre Systeme sind bei Releases wie diesem Rekord-Patchday deutlich schneller abgesichert, ohne dass Ihr Team selbst hunderte Advisories durchforsten muss.

Sie möchten wissen, ob Ihre Systeme bereits auf dem aktuellen Stand sind – oder Ihr Patchmanagement künftig automatisiert laufen lassen? Sprechen Sie uns an, wir zeigen Ihnen, wie das konkret in Ihrer Umgebung aussieht.