Days aktiv [2026] – Tech Insider Deutschland

Microsoft hat am 8. September 2026 den größten Patchday seiner Geschichte veröffentlicht: 973 Sicherheitslücken wurden mit einem einzigen Update-Paket geschlossen, verteilt auf 1.170 CVE-Nummern im offiziellen Datensatz des Microsoft Security Response Center. Zwei der Lücken, CVE-2026-81963 und CVE-2026-85880, wurden bereits vor Veröffentlichung des Patches aktiv in freier Wildbahn ausgenutzt. Für IT-Abteilungen in Deutschland, Österreich und der Schweiz bedeutet das: sofortiger Handlungsbedarf, mitten in einer Woche, in der parallel auch Android, Cisco und SAP kritische Schwachstellen offenlegten.

·

Google · Bevorzugte Quellen

Verpasse keine neuen Tech-Storys auf Google

Füge Tech Insider einmal in der Google-App hinzu und unsere Artikel erscheinen in deinen Vorschlägen.

Jetzt hinzufügen

973 Sicherheitslücken auf einen Schlag: Die Zahlen hinter dem Rekord-Patchday

Der monatliche Update-Dienstag von Microsoft ist seit Jahren ein fester Termin im Kalender jeder IT-Abteilung, doch die September-Ausgabe 2026 sprengt den bisherigen Rahmen. Von den 1.170 im Microsoft Security Response Center gelisteten CVE-Einträgen hat der Konzern 973 mit einer konkreten Sicherheitsauswirkung versehen. Zum Vergleich: In einem durchschnittlichen Monat schließt Microsoft zwischen 60 und 140 Lücken. Der September-Wert liegt damit um das Sieben- bis Zehnfache über dem üblichen Volumen.

Von den 973 Schwachstellen stuft Microsoft 113 als kritisch ein. Darunter befinden sich 83 Lücken vom Typ Remote Code Execution (RCE), bei denen Angreifer ohne physischen Zugriff beliebigen Code auf einem Zielsystem ausführen können. Betroffen sind nicht nur Windows-Client-Systeme, sondern auch Windows Server, Microsoft Office, Azure-Dienste und SQL Server, also praktisch das gesamte Produktportfolio, auf dem Unternehmens-IT im DACH-Raum aufbaut. Die Bandbreite der betroffenen Komponenten erklärt, warum der Patchday in deutschsprachigen IT-Sicherheitsmedien so breit diskutiert wird: Es gibt kaum eine Windows-basierte Unternehmensumgebung, die von mindestens einer der 973 Lücken unberührt bleibt.

Die Diskrepanz zwischen 1.170 CVE-Nummern und 973 tatsächlich bewerteten Schwachstellen erklärt sich aus der Zählweise: Microsoft vergibt teils mehrere CVE-IDs für dieselbe zugrunde liegende Komponente, etwa wenn ein Fehler in mehreren Windows-Versionen unterschiedliche Patch-Pakete erfordert. Für Sicherheitsteams ändert das wenig an der Priorität: Beide Zahlen markieren einen historischen Höchststand, der weit über das hinausgeht, was Patch-Management-Prozesse in den meisten Firmen für einen einzelnen Monat vorsehen. Er reiht sich damit in eine Serie schwerer Schwachstellenmeldungen der vergangenen Wochen ein, zu denen zuletzt auch die von 85 Prozent der deutschen Exchange-Server betroffene Lücke CVE-2026-62911 zählte.

Die zwei aktiv ausgenutzten Zero-Days: CVE-2026-81963 und CVE-2026-85880

Im Zentrum der Dringlichkeit stehen zwei Schwachstellen, die Microsoft bereits mit dem Vermerk „Exploitation Detected“ versehen hat, was bedeutet: Angreifer nutzten die Lücken, bevor ein Patch existierte. CVE-2026-81963 sitzt im Windows Update Stack und erlaubt es einem bereits eingeloggten, aber nicht privilegierten Angreifer, seine Rechte bis auf SYSTEM-Ebene auszuweiten. Der CVSS-Score liegt bei 7,8 von 10, ein Wert, der auf den ersten Blick moderat wirkt, in der Praxis aber gefährlich ist, weil solche Privilege-Escalation-Lücken meist als zweiter Schritt in einer Angriffskette dienen: Erst verschafft sich ein Angreifer über Phishing oder eine andere Lücke einen einfachen Zugang, dann nutzt er CVE-2026-81963, um vollständige Kontrolle über das System zu erlangen.

Die zweite aktiv ausgenutzte Lücke, CVE-2026-85880, betrifft den Advanced Local Procedure Call (ALPC), eine interne Windows-Komponente für die Kommunikation zwischen Prozessen. Auch hier führt eine erfolgreiche Ausnutzung zur Rechteausweitung bis SYSTEM-Niveau, ebenfalls mit einem CVSS-Wert von 7,8. Beide Lücken teilen damit ein Muster, das Sicherheitsforscher in den vergangenen Jahren wiederholt bei staatlich unterstützten Angreifern und Ransomware-Gruppen beobachtet haben: Privilege-Escalation-Bugs in Windows-Kernkomponenten sind selten die erste Waffe eines Angriffs, aber fast immer ein notwendiger Baustein, um aus einem kompromittierten Nutzerkonto eine vollständige Systemübernahme zu machen.

Die US-Cybersicherheitsbehörde CISA nahm beide CVE-Nummern noch am Tag der Veröffentlichung, dem 8. September 2026, in ihren Katalog bekannter ausgenutzter Schwachstellen auf und setzte US-Bundesbehörden eine Patch-Frist bis zum 22. September 2026. Diese Frist gilt formal nicht für Unternehmen in Deutschland, Österreich oder der Schweiz, dennoch orientieren sich viele europäische Sicherheitsteams an CISA-Fristen als informellem Richtwert, weil sie signalisieren, wie akut eine Bedrohung von einer der einflussreichsten Cybersicherheitsbehörden der Welt eingeschätzt wird. Details zu beiden Schwachstellen lassen sich über die National Vulnerability Database und den entsprechenden Eintrag zu CVE-2026-85880 nachvollziehen. Ähnlich akut war zuletzt ein anderer Windows-Zero-Day, CVE-2026-68820 im Ancillary Function Driver, der ebenfalls vor der Bereitstellung eines Patches im Umlauf war.

Warum ausgerechnet Privilege-Escalation-Lücken so gefährlich sind

Wer den Begriff Zero-Day hört, denkt oft an spektakuläre Remote-Angriffe, bei denen ein Server aus der Ferne übernommen wird, ohne dass ein Nutzer etwas tun muss. CVE-2026-81963 und CVE-2026-85880 funktionieren anders: Sie setzen voraus, dass ein Angreifer bereits einen gewissen Fuß in der Tür hat, etwa über ein durch Phishing erbeutetes Passwort oder eine kompromittierte Anwendung mit niedrigen Rechten. Genau das macht sie für Ransomware-Banden und Industriespionage-Akteure so attraktiv. In der Praxis laufen die meisten erfolgreichen Angriffe der vergangenen Jahre nach einem Baukastenprinzip ab: Erstzugang verschaffen, dann Rechte ausweiten, dann sich lateral im Netzwerk bewegen, dann Daten exfiltrieren oder verschlüsseln.

Ein aktuelles Beispiel für dieses Muster liefert der Cyber Brief des EU-weiten Computer Emergency Response Teams CERT-EU aus dem August 2026: Dort wird ein Vorfall beschrieben, bei dem der Angreifer „ByteToBreach“ ein ungepatchtes Oracle-WebLogic-System als Einfallstor nutzte, um anschließend Dateien auf internen Systemen zu verschlüsseln. Der komplette Bericht ist über die Threat-Intelligence-Publikationen von CERT-EU einsehbar. Solche Fälle zeigen, dass die eigentliche Gefahr selten in einer isolierten Lücke liegt, sondern in der Kombination mehrerer Schwachstellen, die zusammen eine vollständige Angriffskette ergeben. Genau deshalb bewerten Sicherheitsteams Privilege-Escalation-Bugs wie CVE-2026-81963 nicht isoliert, sondern im Kontext der gesamten Angriffsfläche eines Unternehmens.

Nicht nur Windows: Android, Cisco und SAP ziehen im selben Zeitraum nach

Der Microsoft-Patchday steht nicht isoliert. In der ersten Septemberwoche 2026 häuften sich kritische Sicherheitswarnungen über mehrere Hersteller hinweg, was für Sicherheitsteams in Summe eine ungewöhnlich dichte Belastungsspitze bedeutet. Der Android-Patchday im September 2026 brachte gleich mehrere kritische Remote-Code-Execution-Lücken mit sich, darunter CVE-2026-28604 und CVE-2026-28639, die Android-Versionen 14 bis 17 betreffen. Zwei weitere kritische Lücken, CVE-2026-28618 und CVE-2026-28662, wirken sich speziell auf Android 16 und 17 aus.

Auch Netzwerkhersteller Cisco meldete am 2. September 2026 eine kritische Schwachstelle: CVE-2026-20212 erreicht einen CVSS-Wert von 9,8 und betrifft mehrere Nexus-9000-Switch-Modelle mit Silicon-One-ASIC. Die zugehörige Sicherheitsmitteilung mit der Kennung „cisco-sa-n9k-s1-rce-EH8dEtr“ beschreibt eine Remote-Code-Execution-Lücke, die zehn verschiedene Switch-Modelle betrifft, Geräte, die in Rechenzentren und bei Internetdienstanbietern im gesamten DACH-Raum im Einsatz sind. Details liefert die offizielle Cisco Security Advisory.

Parallel dazu warnte das Bundesamt für Sicherheit in der Informationstechnik vor CVE-2026-44756, einer kritischen Lücke in der SAP Extended Passport Processing Bibliothek, die im SAP-Kernel zum Einsatz kommt. Über manipulierte Netzwerkanfragen lassen sich Betriebssystembefehle mit administrativen Rechten ausführen, ein Fehler, den das BSI mit dem Höchstwert CVSS 10,0 von 10 bewertet. Die vollständige Sicherheitswarnung ist auf den Seiten des BSI dokumentiert. Für IT-Verantwortliche in deutschen Unternehmen bedeutet diese Häufung: Es reicht nicht, allein den Windows-Patchday abzuarbeiten, wenn im selben Zeitraum auch Netzwerk-Hardware, Mobilgeräte und ERP-Systeme kritische Lücken aufweisen, ein Muster, das sich bereits im August 2026 bei der parallelen Häufung von CVSS-10,0-Lücken in Entra ID, NetScaler und Zimbra abzeichnete.

Der Cyber Resilience Act tritt zeitgleich in eine neue Phase

Besonders bemerkenswert am Timing: Am 11. September 2026, nur drei Tage nach dem Rekord-Patchday, traten neue Meldepflichten des EU-Cyber-Resilience-Acts in Kraft. Ab diesem Datum müssen Hersteller von Hardware und Software, die Produkte auf dem EU-Markt anbieten, aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle nach Artikel 14 CRA melden. Das betrifft ausdrücklich auch Schweizer Unternehmen, sobald sie Produkte oder Dienstleistungen in die EU liefern, sowie natürlich alle deutschen und österreichischen Hersteller. Details zur neuen Regelung finden sich auf den Seiten der Europäischen Kommission zum Cyber Resilience Act.

Die Koinzidenz von Rekord-Patchday und neuer Meldepflicht ist für Compliance-Abteilungen kein Zufall, sondern eine Vorschau darauf, wie der Alltag unter dem CRA künftig aussehen wird. Wenn ein Hersteller künftig eine aktiv ausgenutzte Lücke wie CVE-2026-81963 entdeckt, greift ab sofort eine Meldefrist gegenüber der zuständigen nationalen Behörde, unabhängig davon, ob es sich um ein deutsches Softwarehaus, einen Schweizer Gerätehersteller oder einen österreichischen SaaS-Anbieter handelt. Für viele mittelständische Unternehmen im DACH-Raum, die bislang keine dedizierten Prozesse für Schwachstellenmeldungen an Behörden hatten, bedeutet das einen spürbaren organisatorischen Mehraufwand, der über reines Patch-Management hinausgeht.

Marktauswirkungen: Was der Rekord-Patchday für Unternehmen bedeutet

Ein Patchday mit 973 Lücken lässt sich nicht in einer Nachtschicht abarbeiten. IT-Abteilungen müssen priorisieren, testen und ausrollen, ein Prozess, der bei kritischen Unternehmenssystemen oft Tage bis Wochen dauert, weil jedes Update erst in einer Testumgebung validiert werden muss, bevor es produktiv geht. Genau in dieser Lücke zwischen Patch-Veröffentlichung und vollständigem Rollout liegt das größte Risiko: Angreifer wissen, dass Unternehmen Zeit brauchen, und beschleunigen häufig ihre eigenen Kampagnen, sobald ein Patch öffentlich ist, weil die technischen Details der Lücke dann leichter zu rekonstruieren sind. Sicherheitsforscher nennen dieses Phänomen „Patch-Gap-Exploitation“, und mit zwei bereits vor dem Patch aktiv ausgenutzten Lücken ist das Zeitfenster für Nachahmer-Angriffe in diesem Fall besonders kurz.

Für Managed-Service-Provider und IT-Dienstleister im DACH-Raum bedeutet der September-Patchday zusätzlichen operativen Druck: Kunden erwarten, dass kritische Patches innerhalb weniger Tage ausgerollt werden, während gleichzeitig die schiere Menge an Änderungen das Risiko von Kompatibilitätsproblemen erhöht. Ein Schweizer IT-Dienstleister beschrieb den Patchday als Update mit so vielen geschlossenen Lücken wie nie zuvor in einem Monat, eine Einschätzung, die sich mit den Zahlen aus dem offiziellen Microsoft Security Response Center deckt. Größere Konzerne mit dedizierten Security-Operations-Centern können die Priorisierung meist automatisiert über Schwachstellen-Scanner steuern, während kleinere und mittlere Unternehmen häufig auf externe Berater angewiesen sind, um die 973 Einträge nach Relevanz für die eigene Systemlandschaft zu filtern.

Ein weiterer Effekt betrifft Versicherungen: Cyberversicherer bewerten die Reaktionsgeschwindigkeit auf kritische Patchdays zunehmend als Faktor bei der Prämiengestaltung. Unternehmen, die dokumentieren können, dass sie aktiv ausgenutzte Zero-Days wie CVE-2026-81963 innerhalb weniger Tage geschlossen haben, verhandeln in der Regel bessere Konditionen als Firmen, die Patch-Zyklen von mehreren Wochen aufweisen. Der Rekord-Patchday vom September 2026 dürfte damit auch als Testfall dafür dienen, wie widerstandsfähig die durchschnittliche IT-Infrastruktur im DACH-Raum tatsächlich ist.

Historischer Kontext: Wie sich Patchdays über die Jahre entwickelt haben

Microsofts monatlicher Patch Tuesday existiert seit 2003 und war ursprünglich als Versuch gedacht, IT-Abteilungen einen planbaren Rhythmus für Sicherheitsupdates zu geben, statt sie mit unregelmäßigen Einzelpatches zu überfordern. In den ersten Jahren bewegte sich die Zahl der geschlossenen Lücken pro Monat meist im niedrigen zweistelligen Bereich. Mit dem Wachstum des Windows-Ökosystems, der Einführung von Azure als Cloud-Plattform und der zunehmenden Komplexität von Office- und Server-Produkten stieg die durchschnittliche Zahl seither kontinuierlich an. In den vergangenen Jahren pendelte sich der Durchschnitt bei 60 bis 140 CVEs pro Monat ein, mit gelegentlichen Ausreißern nach oben bei besonders umfangreichen Sammelpatches.

Der September-2026-Patchday markiert damit einen echten Bruch mit dem bisherigen Muster, nicht nur graduell, sondern um eine Größenordnung. Sicherheitsforscher führen das teils auf verbesserte interne Fuzzing- und Code-Audit-Prozesse bei Microsoft zurück, die in den vergangenen Monaten deutlich mehr latente Schwachstellen aufgedeckt haben als früher, teils auf die schiere Zunahme der Codebasis durch neue KI-Funktionen, Copilot-Integrationen und Cloud-Anbindungen, die zusätzliche Angriffsfläche schaffen. Ob der Rekord vom September 2026 eine Ausnahme bleibt oder der Auftakt zu einer neuen Normalität mit deutlich höheren monatlichen Patch-Volumina ist, lässt sich erst an den kommenden Patchdays ablesen.

Vergleich: September-Patchday 2026 gegen frühere Rekordmonate

Die folgende Tabelle ordnet den aktuellen Patchday in den Kontext früherer besonders umfangreicher Update-Zyklen ein und zeigt, warum September 2026 als historischer Ausreißer gilt.

MerkmalTypischer PatchdaySeptember-Patchday 2026 Geschlossene Lücken gesamt60–140973 Vergebene CVE-Nummernca. 60–1501.170 Als „kritisch“ eingestufte Lücken5–20113 Remote-Code-Execution-Lücken10–4083 Aktiv ausgenutzte Zero-Days0–22 (CVE-2026-81963, CVE-2026-85880) Betroffene Produktkategorienmeist Windows-ClientWindows-Client, Server, Office, Azure, SQL Server CISA-Meldefrist für US-Behördeni. d. R. 21 Tage22. September 2026 (14 Tage)

Die zwei Zero-Days im direkten Vergleich

Beide aktiv ausgenutzten Schwachstellen ähneln sich in ihrer Wirkung, unterscheiden sich aber in der betroffenen Komponente. Die folgende Übersicht fasst die technischen Kerndaten zusammen.

MerkmalCVE-2026-81963CVE-2026-85880 Betroffene KomponenteWindows Update StackAdvanced Local Procedure Call (ALPC) Art der SchwachstelleRechteausweitung (Privilege Escalation)Rechteausweitung (Privilege Escalation) CVSS-Score7,8 von 107,8 von 10 Aktive Ausnutzung vor PatchJa, bestätigtJa, bestätigt Erreichbares RechteniveauSYSTEMSYSTEM Aufnahme in CISA-KEV-Katalog8. September 20268. September 2026 Voraussetzung für AusnutzungLokaler, niedrig privilegierter ZugangLokaler, niedrig privilegierter Zugang

Wettbewerbsvergleich: Wie reagieren andere Hersteller auf Zero-Day-Häufungen?

Im Vergleich zu anderen großen Softwareherstellern zeigt sich, dass Microsofts Umgang mit dem September-Patchday einem etablierten Muster folgt, das sich aber deutlich von der Praxis kleinerer Anbieter unterscheidet. Google schloss mit Chrome 153 am 9. September 2026 insgesamt 230 Sicherheitslücken, darunter eine bereits aktiv ausgenutzte Schwachstelle mit der Kennung CVE-2026-87491. Auch Google reagierte damit innerhalb weniger Tage auf eine öffentlich bekannte Ausnutzung, ein Tempo, das mittlerweile als Industriestandard bei den großen Plattformanbietern gilt und sich bereits Anfang September bei der sechsten aktiv ausgenutzten Chrome-Zero-Day-Lücke des Jahres, CVE-2026-85046 in der V8-Engine, zeigte.

Der entscheidende Unterschied liegt in der Angriffsfläche: Während ein Browser-Update wie bei Chrome meist automatisch im Hintergrund installiert wird und Endnutzer kaum aktiv eingreifen müssen, erfordert ein Windows-Server-Patch in Unternehmensumgebungen einen mehrstufigen Freigabeprozess. Genau diese strukturelle Trägheit macht Microsoft-Patchdays für Unternehmens-IT riskanter als vergleichbare Updates bei konsumentenorientierten Produkten. Cisco wiederum, mit seiner Nexus-9000-Lücke CVE-2026-20212, adressiert eine noch kleinere, aber hochkritische Zielgruppe: Rechenzentrumsbetreiber, bei denen ein einzelnes kompromittiertes Switch-Modell ganze Netzwerksegmente gefährden kann. Die Reaktionsfähigkeit unterscheidet sich hier stark von Unternehmen zu Unternehmen, je nachdem, ob dedizierte Netzwerksicherheitsteams vorhanden sind oder Patches über allgemeine IT-Teams mitlaufen.

Was Sicherheitsteams jetzt konkret tun sollten

Angesichts der schieren Zahl an Lücken empfehlen Sicherheitsexperten eine klare Priorisierung statt eines Versuchs, alle 973 Einträge gleichzeitig abzuarbeiten. An erster Stelle stehen die beiden aktiv ausgenutzten Zero-Days CVE-2026-81963 und CVE-2026-85880, die auf allen produktiven Windows-Systemen mit höchster Dringlichkeit gepatcht werden sollten, unabhängig von der offiziellen CISA-Frist. Danach folgen die 83 Remote-Code-Execution-Lücken, insbesondere jene, die netzwerkseitig ohne Nutzerinteraktion ausnutzbar sind, da sie das größte Potenzial für automatisierte, wurmartige Ausbreitung bieten.

Parallel dazu sollten IT-Verantwortliche prüfen, ob die eigene Systemlandschaft auch von den zeitgleich veröffentlichten Lücken bei Android, Cisco und SAP betroffen ist, da eine isolierte Betrachtung nur des Windows-Patchdays ein unvollständiges Bild der aktuellen Bedrohungslage liefert. Unternehmen, die Produkte in der EU vertreiben, sollten zudem ihre internen Prozesse für die neuen CRA-Meldepflichten ab dem 11. September 2026 überprüfen, um im Fall einer aktiv ausgenutzten Lücke die vorgeschriebenen Fristen gegenüber den nationalen Behörden einhalten zu können. Wer bereits eine Multi-Faktor-Authentifizierung mit Werkzeugen wie dem Microsoft Authenticator einsetzt und dabei gezielt gegen MFA-Fatigue-Angriffe abgesichert hat, reduziert zusätzlich das Risiko, dass eine erfolgreiche Rechteausweitung durch die aktuellen Zero-Days überhaupt erst zu einem vollständigen Kontenübernahme-Szenario eskaliert.

Prognosen: Wie sich die Lage in den kommenden Monaten entwickeln dürfte

Auf Basis der aktuellen Datenlage lassen sich mehrere Entwicklungen für die kommenden Monate absehen. Erstens dürfte die Zahl der monatlich gemeldeten CVEs branchenweit auf einem erhöhten Niveau bleiben, da verbesserte automatisierte Schwachstellensuche bei großen Herstellern inzwischen deutlich mehr Fehler aufdeckt, als das noch vor drei bis vier Jahren der Fall war. Ein Rückfall auf das alte Niveau von 60 bis 140 CVEs pro Monat erscheint unwahrscheinlich.

Zweitens werden die neuen Meldepflichten des Cyber Resilience Act ab September 2026 in den kommenden Quartalen zu einer sichtbar höheren Zahl offiziell gemeldeter Sicherheitsvorfälle in der EU führen, nicht weil es mehr Angriffe gibt, sondern weil mehr Vorfälle erstmals systematisch erfasst werden. Drittens ist davon auszugehen, dass Ransomware-Gruppen gezielt nach dem Muster von CVE-2026-81963 und CVE-2026-85880 suchen, also nach Privilege-Escalation-Lücken, die sich mit bereits kompromittierten Zugangsdaten kombinieren lassen, da dieser Angriffsweg in den vergangenen Jahren nachweislich erfolgreich war.

Viertens dürfte der Trend zu immer dichteren Patchday-Häufungen über mehrere Hersteller hinweg, wie in der ersten Septemberwoche 2026 bei Microsoft, Android, Cisco und SAP gleichzeitig beobachtet, IT-Abteilungen zunehmend zu konsolidierten, automatisierten Patch-Management-Plattformen zwingen, weil manuelle Priorisierung bei mehreren Hundert gleichzeitigen Einträgen praktisch nicht mehr skaliert. Fünftens ist zu erwarten, dass Cyberversicherer ihre Prämienmodelle stärker an nachweisbare Patch-Geschwindigkeit koppeln, ein Trend, der sich bereits in den vergangenen Jahren abzeichnete und durch Vorfälle wie den September-Patchday 2026 zusätzlichen Auftrieb erhalten dürfte.

Fazit: Ein Patchday als Belastungstest für die IT-Sicherheit im DACH-Raum

Der September-Patchday 2026 ist mehr als eine technische Randnotiz für Systemadministratoren. Mit 973 geschlossenen Lücken, zwei aktiv ausgenutzten Zero-Days und einer parallelen Häufung kritischer Schwachstellen bei Android, Cisco und SAP markiert er einen Moment, in dem sich zeigt, wie belastbar die Patch-Management-Prozesse deutscher, österreichischer und schweizerischer Unternehmen tatsächlich sind. Die zeitgleiche Einführung neuer Meldepflichten durch den Cyber Resilience Act verschärft den Druck zusätzlich, weil Unternehmen künftig nicht nur schnell patchen, sondern auch schnell und korrekt an Behörden melden müssen. Wer die beiden aktiv ausgenutzten Lücken CVE-2026-81963 und CVE-2026-85880 noch nicht geschlossen hat, sollte das nicht als eine von vielen Aufgaben auf einer langen Liste behandeln, sondern als die dringlichste Maßnahme dieser Woche.

Häufig gestellte Fragen zum September-Patchday 2026

Wie viele Sicherheitslücken hat Microsoft im September 2026 geschlossen?

Microsoft hat am 8. September 2026 insgesamt 973 Sicherheitslücken mit konkreter Auswirkung geschlossen, verteilt auf 1.170 vergebene CVE-Nummern im offiziellen Datensatz des Microsoft Security Response Center.

Welche zwei Zero-Days wurden bereits aktiv ausgenutzt?

Es handelt sich um CVE-2026-81963 im Windows Update Stack und CVE-2026-85880 in der Advanced-Local-Procedure-Call-Komponente. Beide ermöglichen eine Rechteausweitung bis auf SYSTEM-Ebene und wurden bereits vor der Patch-Veröffentlichung in Angriffen beobachtet.

Gilt die CISA-Frist bis zum 22. September 2026 auch für Unternehmen in Deutschland?

Nein, die Frist der US-Behörde CISA bindet formal nur US-Bundesbehörden. Sicherheitsexperten empfehlen jedoch, sich in Deutschland, Österreich und der Schweiz an demselben Zeitrahmen zu orientieren, da beide Lücken bereits aktiv ausgenutzt werden.

Was hat der Cyber Resilience Act mit dem Patchday zu tun?

Ab dem 11. September 2026 müssen Hersteller, die Produkte in der EU anbieten, aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle nach Artikel 14 CRA an nationale Behörden melden. Das betrifft auch Schweizer Unternehmen, sobald sie Produkte in die EU liefern.

Sind auch Android, Cisco und SAP von kritischen Lücken im September 2026 betroffen?

Ja. Im selben Zeitraum wurden kritische Android-RCE-Lücken wie CVE-2026-28604, eine Cisco-Nexus-9000-Schwachstelle (CVE-2026-20212, CVSS 9,8) sowie eine SAP-Lücke mit dem Höchstwert CVSS 10,0 (CVE-2026-44756) öffentlich gemacht.

Wie viele der 973 Lücken gelten als kritisch?

Microsoft stuft 113 der 973 Schwachstellen als kritisch ein, davon 83 vom Typ Remote Code Execution.

Was sollten IT-Teams zuerst patchen?

Höchste Priorität haben die beiden aktiv ausgenutzten Zero-Days CVE-2026-81963 und CVE-2026-85880, gefolgt von netzwerkseitig ohne Nutzerinteraktion ausnutzbaren Remote-Code-Execution-Lücken.