Microsofts Veröffentlichung zum Patch Tuesday im September 2026 behebt 974 Microsoft-CVEs und ist damit die bislang größte Patch Tuesday -Veröffentlichung. Die Veröffentlichung umfasst Windows-Clients und -Server, Microsoft 365-Apps, SQL Server, Exchange Server, Azure, Entwicklertools, Identitätsdienste, Fernzugriffskomponenten und zentrale Windows-Subsysteme. Microsoft veröffentlicht außerdem 25 Nicht-Microsoft-CVEs erneut.
Zwei Schwachstellen werden bereits aktiv ausgenutzt: CVE-2026-85880 in Windows Advanced Local Procedure Call (ALPC) und CVE-2026-81963 im Windows Update Stack. Beides sind als wichtig eingestufte Schwachstellen zur Rechteausweitung, was unterstreicht, warum der Exploit-Status Vorrang vor reinen Schweregradbezeichnungen haben sollte.
Da fast 1.000 Microsoft CVEs bewertet werden müssen, benötigen IT-Teams eine risikobasierte Einführung, die aktive Ausnutzung, Systemexposition, geschäftliche Kritikalität und die Rolle jedes betroffenen Systems in der Umgebung berücksichtigt.
Microsoft-Patch-Übersicht für September 2026
Von den 973 CVEs mit detaillierten Schweregradinformationen stufte Microsoft 113 als kritisch und 860 als wichtig ein. Microsoft gibt an, dass 964 Maßnahmen durch den Kunden erfordern, während neun innerhalb der Microsoft-Cloudinfrastruktur behoben wurden.
Kategorie | September 2026 |
Behobene Microsoft-CVEs | 974 |
Kritisch | 113 |
Wichtig | 860 |
CVEs, die Maßnahmen durch Kunden erfordern | 964 |
Aktiv ausgenutzte Zero-Day-Schwachstellen | 2 |
Kritische Sicherheitslücken für Remotecodeausführung | 82 |
Erneut veröffentlichte CVEs, die nicht von Microsoft stammen | 25 |
Die meisten Bestandteile dieser Veröffentlichung entfallen auf Rechteausweitung und Remote-Code-Ausführung:
Art der Schwachstelle | Anzahl |
Rechteausweitung | 438 |
Remote-Code-Ausführung | 258 |
Offenlegung von Informationen | 173 |
Denial of Service | 56 |
Umgehung von Sicherheitsfunktionen | 19 |
Spoofing | 16 |
Manipulation | 13 |
Die große Anzahl an Sicherheitslücken zur Rechteausweitung und Remotecodeausführung macht es besonders wichtig, die Systeme zu identifizieren, die am ehesten einen Weg zu privilegiertem Zugriff oder einer umfassenderen Kompromittierung bieten.
Wo die Schwachstellen konzentriert sind
Windows ist für die meisten Sicherheitslücken dieses Monats verantwortlich, aber die Veröffentlichung betrifft auch Produktivitätsanwendungen und kritische Serverinfrastruktur.
Produktfamilie | Behobene Schwachstellen | Eindeutige Updates |
Windows | 723 | 32 |
Office | 111 | 11 |
Office 2016 | 111 | 18 |
SQL-Server | 62 | 1 |
Entwicklertools | 22 | 36 |
SharePoint Server | 16 | 3 |
Azure | 12 | 4 |
Skype for Business | 10 | 3 |
Exchange Server | 9 | 4 |
Sonstiges | 9 | 9 |
Zwei aktiv ausgenutzte Zero-Days erfordern sofortige Aufmerksamkeit
Microsoft hat die aktive Ausnutzung von zwei Windows-Sicherheitslücken zur Rechteausweitung bestätigt.
CVE | Betroffene Komponente | Schweregrad | Status des Exploits | Warum es wichtig ist |
CVE-2026-85880 | Windows Advanced Local Procedure Call | Wichtig | Ausnutzung erkannt | Eine erfolgreiche Ausnutzung kann es einem Angreifer ermöglichen, seine Rechte von einem Standardbenutzerkontext auf SYSTEM zu erweitern. |
CVE-2026-81963 | Windows Update Stack | Wichtig | Ausnutzung erkannt | Eine erfolgreiche Ausnutzung kann einem Angreifer erweiterte Berechtigungen und mehr Kontrolle über ein kompromittiertes Windows-System verschaffen. |
Schwachstellen zur Rechteausweitung erfordern in der Regel, dass ein Angreifer zunächst über ein gewisses Maß an Zugriff verfügt, können jedoch dabei helfen, eingeschränkten Zugriff in die Kontrolle über das betroffene System umzuwandeln. Da Microsoft bereits eine Ausnutzung festgestellt hat, sollten beide Schwachstellen vor Schwachstellen priorisiert werden, die nur nach Schweregrad oder theoretischem Risiko eingestuft werden.
Kritische Schwachstellen, die Sie als Nächstes priorisieren sollten
Microsoft stufte 113 Schwachstellen als kritisch ein, darunter 82 Schwachstellen zur Remote-Code-Ausführung. Anstatt sie als eine einheitliche Gruppe zu behandeln, priorisieren Sie sie nach der betroffenen Infrastruktur, deren Exponiertheit und den potenziellen Auswirkungen einer Kompromittierung.
Windows DNS Server
Sechs kritische Sicherheitslücken zur Remotecodeausführung betreffen den Windows-DNS-Server:
CVE-2026-69730
CVE-2026-69827
CVE-2026-69858
CVE-2026-69813
CVE-2026-77505
CVE-2026-72987
DNS ist grundlegend für Windows-Netzwerke und Active Directory-Umgebungen. Priorisieren Sie in die Domäne integrierte DNS-Server und alle betroffenen Systeme, die aus nicht vertrauenswürdigen Netzwerken erreichbar sind.
Identitäts- und Domäneninfrastruktur
Die Veröffentlichung umfasst kritische Sicherheitslücken zur Remotecodeausführung in mehreren Komponenten im Zentrum der Windows-Authentifizierung:
CVE | Betroffene Komponente |
CVE-2026-69712 | Windows Key Distribution Center |
CVE-2026-69676 | Windows Kerberos |
CVE-2026-72982 | Windows Netlogon |
Kerberos, das Key Distribution Center und Netlogon unterstützen die Authentifizierung in Windows-Domänen. Domänencontroller und andere Systeme, die Identitätsdienste unterstützen, sollten daher zu den ersten Servern gehören, die nach den beiden ausgenutzten Zero-Days bewertet und gepatcht werden.
Fernzugriff und Netzwerkdienste
CVE-2026-69518 betrifft Windows Remote Desktop, während CVE-2026-69590, CVE-2026-72950, CVE-2026-72959 und CVE-2026-69852 den Windows Routing and Remote Access Service (RRAS) betreffen.
Diese Komponenten können eine hochprioritäre Gefährdung darstellen, wenn sie über das Internet erreichbar, mit VPN-Diensten verbunden oder aus weniger vertrauenswürdigen Netzwerksegmenten zugänglich sind. IT-Teams sollten ermitteln, wo die betroffenen Dienste aktiviert sind, und extern erreichbare oder geschäftskritische Systeme in der Prioritätenliste nach vorne ziehen.
SQL Server und Exchange Server
Vier kritische Sicherheitslücken bei der Remotecodeausführung betreffen Microsoft SQL Server:
CVE-2026-67631
CVE-2026-67378
CVE-2026-67636
CVE-2026-67643
Datenbank- und Messaging-Systeme enthalten oft sensible Geschäftsdaten und arbeiten möglicherweise mit privilegiertem Zugriff auf andere Ressourcen. Überprüfen Sie betroffene SQL Server- und Exchange Server-Bereitstellungen umgehend und priorisieren Sie Systeme mit externer Erreichbarkeit, kritischen Workloads oder Zugriff auf besonders wertvolle Daten.
Hyper-V-, Failovercluster- und Bereitstellungsinfrastruktur
Die September-Veröffentlichung enthält außerdem kritische Sicherheitslücken bei der Remotecodeausführung in der Infrastruktur, die mehrere Workloads oder nachgelagerte Systeme betreffen können.
CVEs | Betroffene Komponente | Betriebliche Herausforderung |
CVE-2026-80083, CVE-2026-69603 | Windows Hyper-V | Ein anfälliger Host kann mehrere Gast-Workloads gefährden. |
CVE-2026-78444, CVE-2026-73010 | Windows-Failovercluster | Geclusterte Systeme unterstützen häufig hochverfügbare Produktionsdienste. |
CVE-2026-72954, CVE-2026-72957 | Windows-Bereitstellungsdienste | Die Bereitstellungsinfrastruktur kann viele Endpunkte beeinflussen, die für Imaging oder Provisionierung auf sie angewiesen sind. |
Beim Timing der Patches sollten Verfügbarkeitsanforderungen berücksichtigt werden, aber die Konzentration kritischer Workloads auf diesen Systemen macht eine verzögerte Behebung riskant. Setzen Sie auf stufenweise Tests und koordinierte Wartungsfenster, wenn eine sofortige Einführung Produktionsservices beeinträchtigen könnte.
Microsoft 365- und Office-Anwendungen
Die Veröffentlichung umfasst drei kritische Word-Sicherheitslücken zur Remotecodeausführung, sechs kritische Excel-Sicherheitslücken zur Remotecodeausführung und vier kritische Outlook-Sicherheitslücken zur Remotecodeausführung.
Office-Anwendungen bleiben wichtig, da bösartige Dateien und E-Mail-Inhalte einen ersten Zugangsweg in Benutzerumgebungen bieten können. Diese Updates sollten im Allgemeinen nach ausgenutzten Sicherheitslücken und exponierter Infrastruktur priorisiert werden, aber Organisationen mit häufigem externem Dokumentenaustausch oder Benutzergruppen mit höherem Risiko müssen die Bereitstellung möglicherweise beschleunigen.
So priorisieren Sie Patches für September 2026
Es gibt keinen festen Zeitplan, der für jede Umgebung passt. Verwenden Sie die folgenden Stufen als Ausgangspunkt und passen Sie sie dann anhand von Exposition, betroffenen Assets, Geschäftsauswirkungen, verfügbaren Gegenmaßnahmen und Testanforderungen an.
Innerhalb von 72 Stunden patchen
Priorisieren Sie:
CVE-2026-85880 und CVE-2026-81963, da Microsoft eine aktive Ausnutzung bestätigt hat
Schwachstellen im Windows DNS Server auf domänenintegrierten oder extern erreichbaren Systemen
Updates für Kerberos, Netlogon, Key Distribution Center und Active Directory Domain Services in der Identitätsinfrastruktur
Windows Remote Desktop und RRAS-Schwachstellen auf exponierten oder per Fernzugriff erreichbaren Systemen
Kritische SQL Server- und Exchange Server-Schwachstellen, die sensible oder extern erreichbare Workloads betreffen
Schwachstellen in Windows Deployment Services, Failover Cluster und Hyper-V in kritischer Infrastruktur
Jede Schwachstelle, die später als "Exploitation More Likely" eingestuft oder dem CISA-Katalog Known Exploited Vulnerabilities hinzugefügt wird
Stellen Sie internetseitig erreichbare Systeme, Domänencontroller, VPN-Gateways, Fernzugriffsdienste und Systeme, die privilegierte Anmeldedaten oder kritische Workloads verarbeiten, an den Anfang dieser Ebene.
Patch innerhalb von 1 bis 2 Wochen
Priorisieren Sie:
Schwachstellen zur Remotecodeausführung in Microsoft Word, Excel, PowerPoint, Outlook und SharePoint
Sicherheitslücken in Medien, Grafik, Codecs, WebP, Bildverarbeitung und anderen clientseitigen Komponenten
Windows Hello, Credential Guard und andere authentifizierungsbezogene Sicherheitslücken zur Rechteausweitung
Virtualisierungs- und Speichersysteme ohne Edge-Exposition
Updates für Visual Studio, Visual Studio Code, PowerShell und .NET auf Entwicklerendpunkten
Exponierung und geschäftliche Rolle sollten dennoch den Standardzeitplan außer Kraft setzen. Beispielsweise benötigt eine Benutzergruppe mit hohem Risiko, die regelmäßig externe Dokumente erhält, Office-Updates möglicherweise früher.
Regulärer Patch-Zyklus
umfassen:
Schwachstellen mit geringerer Schwere in Komponenten mit begrenzter Exposition
Nur lokal zugängliche Schwachstellen auf streng kontrollierten Systemen
Probleme mit Peripheriegeräten und Gerätetreibern auf Geräten mit eingeschränktem physischem Zugriff
Nicht internetseitig erreichbare Systeme, die durch wirksame kompensierende Kontrollen geschützt sind
Der Schweregrad allein sollte nicht die Reihenfolge der Patches bestimmen. Bestätigte Ausnutzung, Angriffspfad, Systemexposition, erforderliche Berechtigungen, Geschäftskritikalität und die potenziellen Auswirkungen auf andere Systeme bieten eine nützlichere Grundlage für die Priorisierung.
Bemerkenswerte Updates von Drittanbietern
Microsoft veröffentlicht zusammen mit der diesmonatigen Version 25 nicht von Microsoft stammende CVEs erneut. Organisationen, die Microsoft Edge nach dem Chromium-basierten Release-Zyklus verwalten, sollten relevante Browser-Updates eigenständig prüfen.
Browser-, Entwicklertools-, Open-Source-Abhängigkeits- und Drittanbieteranwendungs-Updates sollten Teil desselben Schwachstellenmanagement-Workflows wie Betriebssystem-Updates bleiben. Getrennte Prozesse können blinde Flecken verursachen, selbst wenn das Windows-Patching auf dem neuesten Stand ist.
Warum der Patch Tuesday im September für IT-Teams wichtig ist
Die September-Veröffentlichung ist mehr als nur ein umfangreiches Patch-Ereignis. Sie macht drei operative Herausforderungen deutlich, die IT-Teams angehen müssen.
1. Das Volumen macht eine manuelle Priorisierung unrealistisch
Fast 1.000 Microsoft-CVEs können nicht alle mit derselben Dringlichkeit behandelt werden. IT-Teams müssen ermitteln, welche Assets betroffen sind, welche Sicherheitslücken aktiv ausgenutzt werden und welche Systeme Identitäten, Fernzugriff, Datenbanken, Zusammenarbeit oder geschäftskritische Workloads unterstützen.
Diese Bewertung hängt von einem genauen Bestandsverzeichnis der Assets und Software ab. Ohne dieses können Teams Zeit mit Updates mit geringerem Risiko verbringen, während exponierte Systeme weiterhin anfällig bleiben.
2. Zentrale Unternehmensinfrastruktur ist stark vertreten
Die Updates vom September betreffen gleichzeitig Identitätsdienste, DNS, Fernzugriff, Datenbanken, Messaging, Virtualisierung und Betriebssysteme auf Endgeräten. Dadurch entstehen überschneidende Prioritäten über Server und Endgeräte der Benutzer hinweg, jeweils mit unterschiedlichen Anforderungen an Tests und Wartung.
Eine schrittweise Einführung kann Teams dabei helfen, die am stärksten gefährdeten Systeme schnell zu aktualisieren und gleichzeitig umfassendere Updates zu testen, bevor sie im gesamten Unternehmen bereitgestellt werden.
3. Die Überprüfung von Patches ist genauso wichtig wie ihre Bereitstellung
Das Senden eines Updates beweist nicht, dass jedes Gerät geschützt ist. Systeme können offline sein, Installationen können fehlschlagen oder Endpunkte können ein Bereitstellungsfenster verpassen.
IT-Teams müssen erkennen können, welche Geräte weiterhin anfällig sind, welche Patches erfolgreich waren, welche fehlgeschlagen sind und bei welchen Systemen ein weiterer Bereitstellungsversuch oder zusätzliche Abhilfemaßnahmen erforderlich sind.
Wie Splashtop AEM beim Priorisieren und Bereitstellen von Patches helfen kann
Eine Patch-Tuesday-Veröffentlichung mit 974 Microsoft-CVEs bringt zwei unmittelbare Herausforderungen mit sich: herauszufinden, was in Ihrer Umgebung relevant ist, und die richtigen Updates schnell bereitzustellen. Splashtop AEM unterstützt IT-Teams dabei, beides über eine zentrale Konsole zu verwalten.
Erkennen Sie, wo das Risiko liegt: Splashtop AEM bietet zentrale Transparenz über Sicherheitslücken, Patch-Status, Hardware- und Softwareinventar sowie den Zustand der Endpunkte. IT-Teams können diesen Kontext nutzen, um betroffene Geräte zu identifizieren und zu verstehen, wo dringender Handlungsbedarf bei der Behebung besteht.
Priorisieren Sie die wichtigsten Schwachstellen: CVE-Einblicke und Informationen auf Endpunktebene helfen Teams, sich auf ausgenutzte Schwachstellen, risikoreiche Software, kritische Systeme und Geräte zu konzentrieren, die sensible Funktionen wie Identität oder Fernzugriff unterstützen.
Updates schneller bereitstellen: Splashtop AEM unterstützt Echtzeit-Patching, automatisierte Patch-Richtlinien, geplante Bereitstellung und ringbasierte Rollouts. Teams können Updates mit einer kleineren Gerätegruppe testen, die Bereitstellung schrittweise ausweiten und den Erfolg oder Misserfolg überwachen, ohne die Transparenz in der gesamten Umgebung zu verlieren.
Bestehende Patch-Workflows optimieren: Teams, die Teile des Patchings noch manuell erledigen, können wiederkehrende Bereitstellungs- und Überprüfungsaufgaben automatisieren. Splashtop AEM kann Microsoft Intune ergänzen, indem es der bestehenden Umgebung Echtzeit-Patching, CVE-Transparenz und Funktionen zur Behebung hinzufügt. Unternehmen, die ein RMM nutzen, können Splashtop AEM einsetzen, um Patch-Transparenz, Automatisierung und Endpoint-Workflows dort zu verbessern, wo zusätzliche Funktionen benötigt werden.
Reagieren Sie mit Splashtop AEM schneller auf Schwachstellen mit hohem Risiko
Der Patch Tuesday mit Rekordwerten im September zeigt, wie schnell das Patch-Management zu einem Problem der Priorisierung und Verifizierung wird. IT-Teams müssen exponierte Geräte identifizieren, dringende Updates bereitstellen und die Behebung bestätigen, ohne in verteilten Umgebungen den Überblick über Systeme zu verlieren.
Splashtop AEM vereint CVE-Transparenz, Echtzeit-Patching, Automatisierung, Überwachung des Patch-Status und Endpunkt-Einblicke auf einer Plattform.
Starten Sie eine kostenlose Testversion von Splashtop AEM, um anfällige Endpunkte zu identifizieren, Updates mit hohem Risiko zu priorisieren und Patches schneller bereitzustellen.
