Patch Tuesday im September 2026: 974 CVEs, 2 Zero-Days

Microsofts Veröffentlichung zum Patch Tuesday im September 2026 behebt 974 Microsoft-CVEs und ist damit die bislang größte Patch Tuesday -Veröffentlichung. Die Veröffentlichung umfasst Windows-Clients und -Server, Microsoft 365-Apps, SQL Server, Exchange Server, Azure, Entwicklertools, Identitätsdienste, Fernzugriffskomponenten und zentrale Windows-Subsysteme. Microsoft veröffentlicht außerdem 25 Nicht-Microsoft-CVEs erneut.

Zwei Schwachstellen werden bereits aktiv ausgenutzt: CVE-2026-85880 in Windows Advanced Local Procedure Call (ALPC) und CVE-2026-81963 im Windows Update Stack. Beides sind als wichtig eingestufte Schwachstellen zur Rechteausweitung, was unterstreicht, warum der Exploit-Status Vorrang vor reinen Schweregradbezeichnungen haben sollte.

Da fast 1.000 Microsoft CVEs bewertet werden müssen, benötigen IT-Teams eine risikobasierte Einführung, die aktive Ausnutzung, Systemexposition, geschäftliche Kritikalität und die Rolle jedes betroffenen Systems in der Umgebung berücksichtigt.

Microsoft-Patch-Übersicht für September 2026

Von den 973 CVEs mit detaillierten Schweregradinformationen stufte Microsoft 113 als kritisch und 860 als wichtig ein. Microsoft gibt an, dass 964 Maßnahmen durch den Kunden erfordern, während neun innerhalb der Microsoft-Cloudinfrastruktur behoben wurden.

Die meisten Bestandteile dieser Veröffentlichung entfallen auf Rechteausweitung und Remote-Code-Ausführung:

Die große Anzahl an Sicherheitslücken zur Rechteausweitung und Remotecodeausführung macht es besonders wichtig, die Systeme zu identifizieren, die am ehesten einen Weg zu privilegiertem Zugriff oder einer umfassenderen Kompromittierung bieten.

Wo die Schwachstellen konzentriert sind

Windows ist für die meisten Sicherheitslücken dieses Monats verantwortlich, aber die Veröffentlichung betrifft auch Produktivitätsanwendungen und kritische Serverinfrastruktur.

Zwei aktiv ausgenutzte Zero-Days erfordern sofortige Aufmerksamkeit

Microsoft hat die aktive Ausnutzung von zwei Windows-Sicherheitslücken zur Rechteausweitung bestätigt.

Schwachstellen zur Rechteausweitung erfordern in der Regel, dass ein Angreifer zunächst über ein gewisses Maß an Zugriff verfügt, können jedoch dabei helfen, eingeschränkten Zugriff in die Kontrolle über das betroffene System umzuwandeln. Da Microsoft bereits eine Ausnutzung festgestellt hat, sollten beide Schwachstellen vor Schwachstellen priorisiert werden, die nur nach Schweregrad oder theoretischem Risiko eingestuft werden.

Kritische Schwachstellen, die Sie als Nächstes priorisieren sollten

Microsoft stufte 113 Schwachstellen als kritisch ein, darunter 82 Schwachstellen zur Remote-Code-Ausführung. Anstatt sie als eine einheitliche Gruppe zu behandeln, priorisieren Sie sie nach der betroffenen Infrastruktur, deren Exponiertheit und den potenziellen Auswirkungen einer Kompromittierung.

Windows DNS Server

Sechs kritische Sicherheitslücken zur Remotecodeausführung betreffen den Windows-DNS-Server:

• CVE-2026-69730

• CVE-2026-69827

• CVE-2026-69858

• CVE-2026-69813

• CVE-2026-77505

• CVE-2026-72987

DNS ist grundlegend für Windows-Netzwerke und Active Directory-Umgebungen. Priorisieren Sie in die Domäne integrierte DNS-Server und alle betroffenen Systeme, die aus nicht vertrauenswürdigen Netzwerken erreichbar sind.

Identitäts- und Domäneninfrastruktur

Die Veröffentlichung umfasst kritische Sicherheitslücken zur Remotecodeausführung in mehreren Komponenten im Zentrum der Windows-Authentifizierung:

Kerberos, das Key Distribution Center und Netlogon unterstützen die Authentifizierung in Windows-Domänen. Domänencontroller und andere Systeme, die Identitätsdienste unterstützen, sollten daher zu den ersten Servern gehören, die nach den beiden ausgenutzten Zero-Days bewertet und gepatcht werden.

Fernzugriff und Netzwerkdienste

CVE-2026-69518 betrifft Windows Remote Desktop, während CVE-2026-69590, CVE-2026-72950, CVE-2026-72959 und CVE-2026-69852 den Windows Routing and Remote Access Service (RRAS) betreffen.

Diese Komponenten können eine hochprioritäre Gefährdung darstellen, wenn sie über das Internet erreichbar, mit VPN-Diensten verbunden oder aus weniger vertrauenswürdigen Netzwerksegmenten zugänglich sind. IT-Teams sollten ermitteln, wo die betroffenen Dienste aktiviert sind, und extern erreichbare oder geschäftskritische Systeme in der Prioritätenliste nach vorne ziehen.

SQL Server und Exchange Server

Vier kritische Sicherheitslücken bei der Remotecodeausführung betreffen Microsoft SQL Server:

• CVE-2026-67631

• CVE-2026-67378

• CVE-2026-67636

• CVE-2026-67643

Datenbank- und Messaging-Systeme enthalten oft sensible Geschäftsdaten und arbeiten möglicherweise mit privilegiertem Zugriff auf andere Ressourcen. Überprüfen Sie betroffene SQL Server- und Exchange Server-Bereitstellungen umgehend und priorisieren Sie Systeme mit externer Erreichbarkeit, kritischen Workloads oder Zugriff auf besonders wertvolle Daten.

Hyper-V-, Failovercluster- und Bereitstellungsinfrastruktur

Die September-Veröffentlichung enthält außerdem kritische Sicherheitslücken bei der Remotecodeausführung in der Infrastruktur, die mehrere Workloads oder nachgelagerte Systeme betreffen können.

Beim Timing der Patches sollten Verfügbarkeitsanforderungen berücksichtigt werden, aber die Konzentration kritischer Workloads auf diesen Systemen macht eine verzögerte Behebung riskant. Setzen Sie auf stufenweise Tests und koordinierte Wartungsfenster, wenn eine sofortige Einführung Produktionsservices beeinträchtigen könnte.

Microsoft 365- und Office-Anwendungen

Die Veröffentlichung umfasst drei kritische Word-Sicherheitslücken zur Remotecodeausführung, sechs kritische Excel-Sicherheitslücken zur Remotecodeausführung und vier kritische Outlook-Sicherheitslücken zur Remotecodeausführung.

Office-Anwendungen bleiben wichtig, da bösartige Dateien und E-Mail-Inhalte einen ersten Zugangsweg in Benutzerumgebungen bieten können. Diese Updates sollten im Allgemeinen nach ausgenutzten Sicherheitslücken und exponierter Infrastruktur priorisiert werden, aber Organisationen mit häufigem externem Dokumentenaustausch oder Benutzergruppen mit höherem Risiko müssen die Bereitstellung möglicherweise beschleunigen.

So priorisieren Sie Patches für September 2026

Es gibt keinen festen Zeitplan, der für jede Umgebung passt. Verwenden Sie die folgenden Stufen als Ausgangspunkt und passen Sie sie dann anhand von Exposition, betroffenen Assets, Geschäftsauswirkungen, verfügbaren Gegenmaßnahmen und Testanforderungen an.

Innerhalb von 72 Stunden patchen

Priorisieren Sie:

• CVE-2026-85880 und CVE-2026-81963, da Microsoft eine aktive Ausnutzung bestätigt hat

• Schwachstellen im Windows DNS Server auf domänenintegrierten oder extern erreichbaren Systemen

• Updates für Kerberos, Netlogon, Key Distribution Center und Active Directory Domain Services in der Identitätsinfrastruktur

• Windows Remote Desktop und RRAS-Schwachstellen auf exponierten oder per Fernzugriff erreichbaren Systemen

• Kritische SQL Server- und Exchange Server-Schwachstellen, die sensible oder extern erreichbare Workloads betreffen

• Schwachstellen in Windows Deployment Services, Failover Cluster und Hyper-V in kritischer Infrastruktur

• Jede Schwachstelle, die später als "Exploitation More Likely" eingestuft oder dem CISA-Katalog Known Exploited Vulnerabilities hinzugefügt wird

Stellen Sie internetseitig erreichbare Systeme, Domänencontroller, VPN-Gateways, Fernzugriffsdienste und Systeme, die privilegierte Anmeldedaten oder kritische Workloads verarbeiten, an den Anfang dieser Ebene.

Patch innerhalb von 1 bis 2 Wochen

Priorisieren Sie:

• Schwachstellen zur Remotecodeausführung in Microsoft Word, Excel, PowerPoint, Outlook und SharePoint

• Sicherheitslücken in Medien, Grafik, Codecs, WebP, Bildverarbeitung und anderen clientseitigen Komponenten

• Windows Hello, Credential Guard und andere authentifizierungsbezogene Sicherheitslücken zur Rechteausweitung

• Virtualisierungs- und Speichersysteme ohne Edge-Exposition

• Updates für Visual Studio, Visual Studio Code, PowerShell und .NET auf Entwicklerendpunkten

Exponierung und geschäftliche Rolle sollten dennoch den Standardzeitplan außer Kraft setzen. Beispielsweise benötigt eine Benutzergruppe mit hohem Risiko, die regelmäßig externe Dokumente erhält, Office-Updates möglicherweise früher.

Regulärer Patch-Zyklus

umfassen:

• Schwachstellen mit geringerer Schwere in Komponenten mit begrenzter Exposition

• Nur lokal zugängliche Schwachstellen auf streng kontrollierten Systemen

• Probleme mit Peripheriegeräten und Gerätetreibern auf Geräten mit eingeschränktem physischem Zugriff

• Nicht internetseitig erreichbare Systeme, die durch wirksame kompensierende Kontrollen geschützt sind

Der Schweregrad allein sollte nicht die Reihenfolge der Patches bestimmen. Bestätigte Ausnutzung, Angriffspfad, Systemexposition, erforderliche Berechtigungen, Geschäftskritikalität und die potenziellen Auswirkungen auf andere Systeme bieten eine nützlichere Grundlage für die Priorisierung.

Bemerkenswerte Updates von Drittanbietern

Microsoft veröffentlicht zusammen mit der diesmonatigen Version 25 nicht von Microsoft stammende CVEs erneut. Organisationen, die Microsoft Edge nach dem Chromium-basierten Release-Zyklus verwalten, sollten relevante Browser-Updates eigenständig prüfen.

Browser-, Entwicklertools-, Open-Source-Abhängigkeits- und Drittanbieteranwendungs-Updates sollten Teil desselben Schwachstellenmanagement-Workflows wie Betriebssystem-Updates bleiben. Getrennte Prozesse können blinde Flecken verursachen, selbst wenn das Windows-Patching auf dem neuesten Stand ist.

Warum der Patch Tuesday im September für IT-Teams wichtig ist

Die September-Veröffentlichung ist mehr als nur ein umfangreiches Patch-Ereignis. Sie macht drei operative Herausforderungen deutlich, die IT-Teams angehen müssen.

1. Das Volumen macht eine manuelle Priorisierung unrealistisch

Fast 1.000 Microsoft-CVEs können nicht alle mit derselben Dringlichkeit behandelt werden. IT-Teams müssen ermitteln, welche Assets betroffen sind, welche Sicherheitslücken aktiv ausgenutzt werden und welche Systeme Identitäten, Fernzugriff, Datenbanken, Zusammenarbeit oder geschäftskritische Workloads unterstützen.

Diese Bewertung hängt von einem genauen Bestandsverzeichnis der Assets und Software ab. Ohne dieses können Teams Zeit mit Updates mit geringerem Risiko verbringen, während exponierte Systeme weiterhin anfällig bleiben.

2. Zentrale Unternehmensinfrastruktur ist stark vertreten

Die Updates vom September betreffen gleichzeitig Identitätsdienste, DNS, Fernzugriff, Datenbanken, Messaging, Virtualisierung und Betriebssysteme auf Endgeräten. Dadurch entstehen überschneidende Prioritäten über Server und Endgeräte der Benutzer hinweg, jeweils mit unterschiedlichen Anforderungen an Tests und Wartung.

Eine schrittweise Einführung kann Teams dabei helfen, die am stärksten gefährdeten Systeme schnell zu aktualisieren und gleichzeitig umfassendere Updates zu testen, bevor sie im gesamten Unternehmen bereitgestellt werden.

3. Die Überprüfung von Patches ist genauso wichtig wie ihre Bereitstellung

Das Senden eines Updates beweist nicht, dass jedes Gerät geschützt ist. Systeme können offline sein, Installationen können fehlschlagen oder Endpunkte können ein Bereitstellungsfenster verpassen.

IT-Teams müssen erkennen können, welche Geräte weiterhin anfällig sind, welche Patches erfolgreich waren, welche fehlgeschlagen sind und bei welchen Systemen ein weiterer Bereitstellungsversuch oder zusätzliche Abhilfemaßnahmen erforderlich sind.

Wie Splashtop AEM beim Priorisieren und Bereitstellen von Patches helfen kann

Eine Patch-Tuesday-Veröffentlichung mit 974 Microsoft-CVEs bringt zwei unmittelbare Herausforderungen mit sich: herauszufinden, was in Ihrer Umgebung relevant ist, und die richtigen Updates schnell bereitzustellen. Splashtop AEM unterstützt IT-Teams dabei, beides über eine zentrale Konsole zu verwalten.

• Erkennen Sie, wo das Risiko liegt: Splashtop AEM bietet zentrale Transparenz über Sicherheitslücken, Patch-Status, Hardware- und Softwareinventar sowie den Zustand der Endpunkte. IT-Teams können diesen Kontext nutzen, um betroffene Geräte zu identifizieren und zu verstehen, wo dringender Handlungsbedarf bei der Behebung besteht.

• Priorisieren Sie die wichtigsten Schwachstellen: CVE-Einblicke und Informationen auf Endpunktebene helfen Teams, sich auf ausgenutzte Schwachstellen, risikoreiche Software, kritische Systeme und Geräte zu konzentrieren, die sensible Funktionen wie Identität oder Fernzugriff unterstützen.

• Updates schneller bereitstellen: Splashtop AEM unterstützt Echtzeit-Patching, automatisierte Patch-Richtlinien, geplante Bereitstellung und ringbasierte Rollouts. Teams können Updates mit einer kleineren Gerätegruppe testen, die Bereitstellung schrittweise ausweiten und den Erfolg oder Misserfolg überwachen, ohne die Transparenz in der gesamten Umgebung zu verlieren.

• Bestehende Patch-Workflows optimieren: Teams, die Teile des Patchings noch manuell erledigen, können wiederkehrende Bereitstellungs- und Überprüfungsaufgaben automatisieren. Splashtop AEM kann Microsoft Intune ergänzen, indem es der bestehenden Umgebung Echtzeit-Patching, CVE-Transparenz und Funktionen zur Behebung hinzufügt. Unternehmen, die ein RMM nutzen, können Splashtop AEM einsetzen, um Patch-Transparenz, Automatisierung und Endpoint-Workflows dort zu verbessern, wo zusätzliche Funktionen benötigt werden.

Reagieren Sie mit Splashtop AEM schneller auf Schwachstellen mit hohem Risiko

Der Patch Tuesday mit Rekordwerten im September zeigt, wie schnell das Patch-Management zu einem Problem der Priorisierung und Verifizierung wird. IT-Teams müssen exponierte Geräte identifizieren, dringende Updates bereitstellen und die Behebung bestätigen, ohne in verteilten Umgebungen den Überblick über Systeme zu verlieren.

Splashtop AEM vereint CVE-Transparenz, Echtzeit-Patching, Automatisierung, Überwachung des Patch-Status und Endpunkt-Einblicke auf einer Plattform.

Starten Sie eine kostenlose Testversion von Splashtop AEM, um anfällige Endpunkte zu identifizieren, Updates mit hohem Risiko zu priorisieren und Patches schneller bereitzustellen.