Microsoft Patchday September 2026: Zwei aktiv ausgenutzte Lücken und uneinheitliche CVE-Zahlen

Microsoft hat am 8. September 2026 im monatlichen Patchday Sicherheitsupdates für Windows 10, Windows 11, Windows Server, Office, SQL Server, SharePoint, Azure und diverse Entwicklertools veröffentlicht. Betroffen sind unter anderem Windows 10 22H2 im Extended Security Update Programm, Windows 11 in den Versionen 24H2, 25H2 und 26H1 sowie zahlreiche Serverkomponenten. Zwei Lücken werden bereits aktiv ausgenutzt: CVE-2026-81963 im Windows Update Stack erlaubt einem bereits authentifizierten lokalen Angreifer eine Rechteausweitung mit einem CVSS-Wert von 7.8, und CVE-2026-85880 in der Windows ALPC-Komponente ermöglicht einem lokal berechtigten Angreifer durch einen Heap-Overflow ebenfalls eine Rechteausweitung bis auf SYSTEM-Ebene, ebenfalls mit CVSS 7.8. Beide Lücken setzen bereits vorhandenen Zugriff auf das System voraus, sind also kein Einfallstor von außen, aber ein wirksames Werkzeug für Angreifer, die bereits einen Fuß in der Tür haben.

Deutlich kritischer einzustufen sind mehrere Remote-Code-Execution-Lücken, die ohne Authentifizierung über das Netzwerk ausnutzbar sind. CVE-2026-69525 betrifft die Remote Desktop Services mit einem CVSS-Wert von 9.8 und erlaubt unauthentifizierten Angreifern Codeausführung aus der Ferne. Im Windows DNS Server wurden gleich vier weitere unauthentifizierte RCE-Lücken geschlossen: CVE-2026-69730, CVE-2026-69813, CVE-2026-69858 und CVE-2026-72987. Wer Windows Server mit aktivierter Remote-Desktop- oder DNS-Server-Rolle betreibt und diese Dienste direkt aus dem Internet erreichbar hält, sollte die Patches vorrangig und noch am selben Tag testen und einspielen. Reine Arbeitsplatzrechner ohne diese Serverrollen sind von den kritischsten Lücken nicht unmittelbar betroffen, sollten aber im regulären Patchzyklus trotzdem zeitnah aktualisiert werden, schon wegen der beiden aktiv ausgenutzten Rechteausweitungen.

Was ist passiert?

Am zweiten Dienstag im September, dem sogenannten Patch Tuesday, hat Microsoft sein monatliches Sicherheitsupdate-Paket veröffentlicht. Auffällig an diesem Patchday ist die ungewöhnlich hohe Zahl geschlossener Schwachstellen sowie eine spürbare Uneinigkeit der auswertenden Sicherheitsdienstleister bei der genauen Zählung.

Wer ist betroffen?

Die Updates betreffen ein breites Produktspektrum:

• Windows 10 22H2 im Extended Security Update Programm (ESU)
• Windows 11 Version 24H2 und 25H2
• Windows 11 Version 26H1
• Windows Server in mehreren unterstützten Versionen
• Microsoft Office
• SQL Server
• SharePoint
• Azure-Dienste
• Diverse Entwicklertools aus dem Microsoft-Ökosystem

Die relevanten Kumulativupdates für Windows-Clients im Überblick:

Wie kritisch ist das?

Die beiden aktiv ausgenutzten Lücken CVE-2026-81963 und CVE-2026-85880 sind lokale Rechteausweitungen mit CVSS 7.8. Sie erfordern bereits bestehenden, authentifizierten beziehungsweise lokal berechtigten Zugriff auf ein System, sind also technisch keine direkte Remote Code Execution. Da beide aber nachweislich in freier Wildbahn ausgenutzt werden, sollten sie unabhängig vom CVSS-Wert priorisiert behandelt werden, insbesondere auf Systemen mit mehreren Nutzerkonten oder in Umgebungen mit erhöhtem Risiko für initialen Zugriff, etwa über Phishing oder kompromittierte Zugangsdaten.

Deutlich höher liegt das Risiko bei CVE-2026-69525 in den Remote Desktop Services mit CVSS 9.8. Diese Lücke ist unauthentifiziert über das Netzwerk ausnutzbar und stellt für aus dem Internet erreichbare RDP-Dienste eine akute Gefahr dar. Ähnlich zu bewerten sind die vier RCE-Lücken im Windows DNS Server, die ebenfalls ohne Authentifizierung ausnutzbar sind. DNS-Server sind häufig zentrale Infrastrukturkomponenten, ein erfolgreicher Angriff kann daher weitreichende Folgen für das gesamte Netzwerk haben.

Bei der Gesamtzahl der geschlossenen Schwachstellen weichen die auswertenden Quellen voneinander ab. BornCity und SecurityWeek nennen 974 CVEs, BleepingComputer kommt auf 966. Der Grund für diese Differenz ist derzeit nicht abschließend geklärt, möglicherweise zählen die Quellen doppelte Einträge, Advisories ohne neue CVE-Nummer oder nachträglich aktualisierte Einträge unterschiedlich. Auch bei den als kritisch eingestuften Lücken gibt es Abweichungen: BornCity nennt 104 kritische Schwachstellen, Qualys 113. Auch hier ist die genaue Ursache der unterschiedlichen Zählweise nicht verifiziert. Admins sollten sich bei der Priorisierung daher nicht allein auf eine einzelne Zahl verlassen, sondern die tatsächlich in der eigenen Umgebung eingesetzten Produkte und die dafür relevanten CVEs prüfen.

Was sollten Admins jetzt tun?

• Zuerst prüfen, welche der betroffenen Produkte und Rollen im eigenen Bestand aktiv genutzt werden, insbesondere Windows Server mit RDP- oder DNS-Server-Rolle
• Systeme mit aus dem Internet erreichbaren Remote Desktop Services oder DNS-Servern vorrangig patchen, möglichst noch am Tag der Veröffentlichung
• Aktuellen Patchstand aller Windows-Clients und -Server gegen die genannten KB-Nummern und Build-Versionen abgleichen
• Windows 10 22H2 Systeme ohne aktives ESU-Abonnement gesondert markieren, da für sie keine regulären Sicherheitsupdates mehr bereitstehen
• Updates zunächst in einer Testgruppe einspielen, bevor die Fläche ausgerollt wird
• Nach dem Rollout gezielt auf ungewöhnliche Prozessaktivitäten und Rechteausweitungen im Log achten, da CVE-2026-81963 und CVE-2026-85880 bereits aktiv ausgenutzt werden
• Office-, SQL-Server- und SharePoint-Installationen ebenfalls in den Update-Plan aufnehmen, auch wenn sie nicht im Zentrum der Berichterstattung stehen
• Azure-Dienste auf automatische beziehungsweise geplante Wartungsfenster prüfen und Konfigurationsabweichungen dokumentieren
• Vor dem Rollout ein aktuelles Backup beziehungsweise einen Restorepunkt sicherstellen
• Bei kritischen Serverrollen ein kurzes Wartungsfenster einplanen statt auf den nächsten regulären Zyklus zu warten

Einordnung für Unternehmen

Für kleine und mittlere Unternehmen ist vor allem die Kombination aus aktiv ausgenutzten Lücken und mehreren kritischen, unauthentifizierten RCE-Schwachstellen relevant. Wer keine RDP-Dienste oder DNS-Server direkt aus dem Internet erreichbar hält, hat ein geringeres akutes Risiko, sollte aber wegen der beiden bereits ausgenutzten Rechteausweitungen trotzdem zügig patchen, statt den nächsten regulären Wartungszyklus abzuwarten. Unternehmen, die Windows 10 22H2 noch ohne ESU-Vertrag betreiben, erhalten für dieses Betriebssystem keine der hier genannten Sicherheitsupdates und sollten die Migration auf ein weiterhin unterstütztes Windows-11-Release priorisieren. Konkrete neue bekannte Probleme durch die September-Updates sind zum jetzigen Zeitpunkt nicht verifiziert, ein Test in einer kleinen Gruppe vor dem breiten Rollout bleibt trotzdem sinnvoll.

Passende Anleitungen auf S-EDV

• Windows August 2026 Patchday: AFD-Lücke CVE-2026-68820 und Update-Plan - Hintergrund zum vorherigen Patchday und wie ein strukturierter Update-Plan für Windows-Umgebungen aussehen kann.
• August-Patchday: Toolkette aus Wireshark, .NET und Windows-KB richtig einspielen - Praktische Hinweise, wie sich Kumulativupdates in gemischten Toolketten zuverlässig einspielen lassen.
• WSUS-Erstsynchronisation schlägt fehl: SqlException 50000 und der WSL - Relevant für Admins, die Updates zentral über WSUS verteilen und dabei auf Synchronisationsfehler stoßen.

Quellen

• BleepingComputer: Microsoft September 2026 Patch Tuesday fixes 966 flaws, 2 zero-days
• SecurityWeek: Microsoft Patches Record 974 Vulnerabilities Including Two Exploited Zero-Days
• BornCity: Microsoft Security Update Summary 8. September 2026
• Qualys: Microsoft Patch Tuesday September 2026 Security Update Review
• Microsoft Support: KB5124012 Windows 11 26H1 Security Update