Am 8. September 2026 hat Microsoft den größten Patchday seiner Geschichte veröffentlicht: 972 neue Sicherheitslücken, 114 davon als kritisch eingestuft. Mit den übernommenen Korrekturen aus Chromium und von Drittanbietern sind es knapp 1.000. Erst im Juli hatten wir über den damaligen Rekord-Patchday berichtet. Zwei Monate später ist dieser Wert um mehr als die Hälfte übertroffen.
Juli, August, September im Vergleich
| Patchday 2026 | Neue Lücken | davon kritisch | bereits aktiv ausgenutzt |
|---|---|---|---|
| 14. Juli | 621 | 63 | 2 |
| 11. August | 398 | 62 | 1 |
| 8. September | 972 | 114 | 2 |
Zählung der Zero Day Initiative, ohne Chromium- und Drittanbieter-Korrekturen. Andere Quellen zählen je nach Methode etwas anders; für September liegen die Angaben zwischen 964 und 974.
Der August war also nur eine Atempause. Allein in diesen drei Monaten hat Microsoft rund 2.000 Lücken geschlossen, mehr als in manchem kompletten Jahr zuvor. Als Hauptgrund gilt die KI-gestützte Schwachstellensuche, die Microsoft und die gesamte Branche inzwischen einsetzen. Sie findet Fehler schneller, als bisher Menschen sie gefunden haben.
Mehr Lücken heißt nicht automatisch mehr Angriffe – aber mehr Arbeit
Eine Beobachtung der Zero Day Initiative ordnet die Zahlen ein: Die Menge der gemeldeten Lücken explodiert, die Zahl der bereits vor dem Patch ausgenutzten Lücken ist bisher aber nicht im selben Maß gestiegen. Dustin Childs fügt ausdrücklich ein „noch nicht“ hinzu.
Für Unternehmen verschiebt sich damit die Last. Das Problem ist weniger die einzelne spektakuläre Lücke als die schiere Menge: Jeden Monat müssen Hunderte Korrekturen auf Server, Arbeitsplätze und Anwendungen verteilt, geprüft und dokumentiert werden. Wer Updates bisher „nebenbei“ installiert, kommt bei diesem Tempo nicht mehr hinterher.
Worauf es im September ankommt
Unter den 972 Lücken sind einige, die Vorrang haben:
- Zwei bereits ausgenutzte Zero-Day-Lücken in Windows: Eine betrifft den Windows-Update-Stack (CVE-2026-81963), die andere eine Systemkomponente zur internen Kommunikation (ALPC, CVE-2026-85880). Beide erlauben einem Angreifer, der bereits Zugang zu einem Gerät hat, volle Systemrechte. Genau diesen Schritt brauchen Angreifer nach einem erfolgreichen Phishing-Angriff.
- 20 wurmfähige Lücken: Sie lassen sich ohne Anmeldung und ohne Zutun eines Nutzers über das Netzwerk ausnutzen, unter anderem im Windows-DNS-Server, in Netlogon auf Domänencontrollern und im VPN-Protokoll SSTP. Die drei genannten tragen jeweils einen CVSS-Wert von 9,8.
- Exchange und SharePoint: Eine Exchange-Lücke lässt sich über einen präparierten Visio-Anhang auslösen (CVE-2026-55007). SharePoint erhält 17 Korrekturen, vier davon gegen Codeausführung. Wer diese Server selbst betreibt und aus dem Internet erreichbar macht, sollte zügig aktualisieren.
- Office: Mehrere kritische Lücken in Excel, Word, Outlook und PowerPoint erlauben Codeausführung über präparierte Dokumente.
Die Reihenfolge ergibt sich daraus: zuerst Domänencontroller, DNS-Server, VPN-Zugänge sowie selbst betriebene Exchange- und SharePoint-Server, danach alle Arbeitsplätze. Die Rechteausweitungen betreffen jedes Windows-Gerät.
Was im September sonst passiert ist
Berliner Landesverwaltung: Datenabfluss nach gefälschtem Captcha
Die Ransomware-Gruppe Rhysida hat Daten aus zwei Berliner Senatsverwaltungen erbeutet und nach Ablauf ihres Ultimatums am 4. September veröffentlicht: nach eigenen Angaben 5,7 Terabyte, darunter Unterlagen zu kritischer Infrastruktur. Berlin hat die Lösegeldforderung abgelehnt.
Als Einstiegsweg nennt das BSI eine Masche namens „TerminalFix“, eine Abwandlung der bekannten ClickFix-Angriffe. Eine täuschend echte Captcha-Abfrage fordert dazu auf, per Tastenkombination das Windows-Terminal zu öffnen und einen Befehl einzufügen. Dieser richtet einen dauerhaften Tunnel ins Firmennetz ein. Das BSI warnt ausdrücklich, dass auch weitere deutsche Institutionen auf diesem Weg kompromittiert wurden.
Gegen diese Masche hilft kein Update. Es hilft, wenn Mitarbeitende wissen, dass keine seriöse Webseite verlangt, Befehle in ein Terminal einzufügen. Zusätzlich lässt sich technisch einschränken, wer PowerShell und Terminal überhaupt starten darf. Genau das behandeln wir im Awareness-Training.
SonicWall: Fernzugriffs-Geräte erneut angegriffen
Anfang September hat SonicWall zwei bereits ausgenutzte Lücken in den SMA1000-Geräten für den Fernzugriff geschlossen (CVE-2026-83548 mit CVSS 10,0 und CVE-2026-83549). In Kombination erlauben sie die Übernahme des Geräts ohne Anmeldung. VPN- und Fernzugriffs-Geräte stehen damit erneut im Fokus: Sie sind aus dem Internet erreichbar und bilden das Tor ins Firmennetz. Updates für diese Geräte gehören innerhalb von Tagen eingespielt, nicht innerhalb von Monaten. Mehr dazu auf unserer Seite zur Firewall-Betreuung.
SAP: Höchste Bewertung für „OVERPASS“
Am SAP-Patchday im September wurde eine Lücke im SAP-Kernel geschlossen, die ohne Anmeldung die vollständige Übernahme eines SAP-Systems ermöglicht (CVE-2026-44756, CVSS 10,0). Betroffen sind unter anderem S/4HANA, SAP ERP und NetWeaver. Das BSI hat dazu eine eigene Warnung veröffentlicht. Unternehmen mit SAP sollten prüfen, ob ihr Dienstleister den Kernel-Patch bereits eingespielt hat.
Patch-Management: Was das für Ihr Unternehmen bedeutet
Die Monate Juli bis September zeigen, dass Patchdays mit mehreren Hundert Lücken zur Regel werden. Entscheidend ist deshalb nicht der einzelne Patchday, sondern ein Ablauf, der jeden Monat funktioniert: wissen, welche Geräte und Server es gibt; Updates nach Dringlichkeit verteilen; prüfen, ob sie tatsächlich installiert sind.
Das übernehmen wir im Rahmen der Endgeräteverwaltung und Patchmanagement für Arbeitsplätze und der Serververwaltung für Server und Domänencontroller. Einen Überblick über Ihren aktuellen Patch-Stand können wir auch kurzfristig erstellen.
Quellen: Zero Day Initiative (September), Zero Day Initiative (August), Zero Day Initiative (Juli), BleepingComputer, Security-Insider, HiSolutions Research, BSI zu TerminalFix, SecurityWeek zu SonicWall, BleepingComputer zu SAP