Die Septemberupdates schließen zwei Windows-Lücken, die Angreifer schon ausnutzen, und können laut Microsoft in manchen Umgebungen den Fernzugriff auf Server instabil machen.

Erst kostenlos reinschnuppern, dann entscheiden

Bevor du dich für eine Weiterbildung entscheidest, sieh dir kostenlos an, wie sie läuft, fünf Lektionen plus Live-Demo, ohne Verpflichtung. Passt es, ist der Digitalisierungsmanager bei bewilligtem Bildungsgutschein für dich kostenlos.

Kostenlos reinschnuppern

Der Schnupperkurs ist gratis. Ob die Weiterbildung über den Bildungsgutschein gefördert wird, entscheidet die Agentur für Arbeit im Einzelfall.

Eine Rekordzahl, zwei Zählweisen

Welche Zahl in den Meldungen steht, hängt davon ab, wer zählt. BleepingComputer kommt auf 966 behobene Lücken, 105 davon als kritisch eingestuft. Gezählt ist dort nur, was Microsoft am Patchday selbst veröffentlicht hat. Nicht enthalten sind 204 Lücken, die Microsoft früher im Monat geschlossen hatte, etwa in Edge, Copilot Studio, Entra ID und Power Automate. Trend Micros Zero Day Initiative (ZDI) zählt 972 neue CVEs von Microsoft und kommt zusammen mit externen und Chromium-Lücken auf 997. Als kritisch stuft ZDI 114 davon ein, der Rest gilt als wichtig. Beide Quellen sprechen von einem Rekord, sie grenzen nur unterschiedlich ab.

Laut BleepingComputer ist es Microsofts bisher größtes Sicherheitsupdate, im Juli 2026 waren es 570 Lücken, im August 400.

Zwei Lücken werden schon ausgenutzt

Laut BleepingComputer und ZDI sind zwei der geschlossenen Lücken bereits aktiv ausgenutzt worden: CVE-2026-81963 im Windows Update Stack und CVE-2026-85880 in Windows ALPC (Advanced Local Procedure Call). Beide erlauben nach Angaben von BleepingComputer eine lokale Rechteausweitung auf SYSTEM-Rechte. Wie die Angriffe abliefen, hat Microsoft laut BleepingComputer nicht mitgeteilt. ZDI empfiehlt, beide Korrekturen schnell einzuspielen.

Wer einen eigenen Exchange Server betreibt, sollte CVE-2026-55007 kennen. Ein Angreifer kann laut ZDI ohne Anmeldung Code auf dem Server ausführen, indem er eine E-Mail mit präpariertem Anhang schickt. Microsoft hält die Ausnutzung laut ZDI für unzuverlässig, ZDI rät trotzdem zu einem zügigen Update. Bei CVE-2026-69676 in Kerberos (CVSS 8,8) kann laut ZDI ein angemeldeter Domänenbenutzer Code auf dem Domänencontroller ausführen, Microsoft stuft die Ausnutzung als wahrscheinlicher ein. Für SQL Server kommen über 60 Patches.

Microsoft sucht mit KI nach Schwachstellen

Schon am 9. Juli 2026 hatte Pavan Davuluri, Executive Vice President für Windows + Devices, im Windows Experience Blog geschrieben, dass KI die Suche nach Schwachstellen beschleunigt. Microsoft nutzt dafür das System MDASH (multi-model agentic scanning harness) mit mehreren KI-Modellen, laut Microsoft auch führenden Modellen von Drittanbietern. Funde werden mehrstufig gegengeprüft, bevor sie bei Entwicklern landen, und Menschen bewerten die Befunde und prüfen die Korrekturen. Kunden werden laut der Ankündigung mehr Sicherheitsupdates je Release sehen, was Microsoft als Zeichen dafür wertet, dass Verteidiger besser werden. BleepingComputer führt auch den Anstieg im September auf dieses System zurück.

Einen entsprechenden Anstieg bei aktiv ausgenutzten Lücken hat ZDI nach eigener Aussage bisher nicht gesehen und schränkt sinngemäß ein: noch nicht.

Remote Desktop hängt, freigegebene Ordner fehlen

Auf der Supportseite zum Update KB5124008 für Windows 11 24H2 und 25H2 beschreibt Microsoft, dass die Remote Desktop Services (RDS) nach dem Septemberupdate in manchen Umgebungen instabil werden können. RDP-Verbindungen brechen nach einigen Minuten ab oder Anmeldungen scheitern. Manche Server hängen bei der Meldung „Please wait for the Remote Desktop Configuration“. Auch Management Console, RDS Licensing Diagnoser und Explorer können hängen, die Windows-Update-Seite lädt unter Umständen endlos. Bestätigt hat Microsoft das laut BleepingComputer am Freitag, 11. September, laut Änderungsprotokoll der Supportseite am 12. September.

Betroffen sind laut BleepingComputer Windows Server ab 2012 sowie Windows 10 und Windows 11. Für eine sofortige Umgehung verweist Microsoft Administratoren auf der Supportseite an den Microsoft Support for Business. BleepingComputer berichtet am 14. September zusätzlich, Microsoft stelle inzwischen Gruppenrichtlinien für ein Known Issue Rollback bereit, mit denen verwaltete Geräte die Störung umgehen können. Ist eine virtuelle Maschine per RDP nicht erreichbar, kann es laut BleepingComputer unter Berufung auf Microsoft vorübergehend helfen, die VM zu stoppen und neu zu starten. Beheben soll das Problem ein künftiges Update, einen Termin nennt Microsoft nicht.

Wer das Update deinstalliert, entfernt laut BleepingComputer auch die Sicherheitskorrekturen.

Zwei weitere Fehler hat Microsoft bestätigt. Am 11. September ergänzte der Konzern, dass Linux-VMs auf Hyper-V-Basis, die Ordner über Plan9 mit dem Windows-Host teilen, die freigegebenen Ordner nicht mehr erreichen. Als betroffene Anwendungen nennt Microsoft ausdrücklich Claude Cowork und das Windows-Subsystem für Linux (WSL), normale Hyper-V-VMs ohne Plan9 sind laut Microsoft nicht betroffen. Seit dem 12. September vermerkt Microsoft beim Update KB5124012 einen dritten Fehler: Manche USB-Audiogeräte der Klasse 1.0 starten nicht oder geben keinen Ton aus.

Unsere Einschätzung

Dieser Patchday stellt Betriebe vor ein Dilemma. Zwei ausgenutzte Lücken sprechen für schnelles Einspielen, doch dasselbe Update kann den Fernzugriff stören, über den Mitarbeiter auf einem Terminalserver arbeiten.

Wir würden Updates trotzdem nicht wochenlang liegen lassen, aber gestaffelt einspielen: zuerst auf einem Rechner oder Server, der nicht geschäftskritisch ist, danach auf dem Rest. Wer einen Terminalserver betreibt, sollte aus unserer Sicht vor dem Update wissen, wie er ohne Remote Desktop an den Server kommt, etwa über die Konsole beim Hoster oder am Hypervisor. Deinstallieren halten wir für den schlechtesten Ausweg, weil damit auch die Korrekturen für die ausgenutzten Lücken verschwinden. Kleine Betriebe ohne eigene IT sollten ihren Dienstleister gezielt nach dem RDS-Fehler fragen.

Auf Dauer wiegt Microsofts Ankündigung schwerer, künftig mehr Sicherheitsupdates je Release auszuliefern. Dazu kommt, wie schnell Angreifer mit KI-Agenten bekannte Lücken ausnutzen. Patchen wird damit zur Daueraufgabe, und dafür braucht ein Betrieb einen festen Ablauf mit klarer Zuständigkeit. Wer noch Windows 11 24H2 in den Editionen Home oder Pro einsetzt, sollte außerdem den 13. Oktober 2026 im Kalender haben: Laut Microsoft endet an diesem Tag die Versorgung mit Updates.

Quellen

Die genannten Angaben stützen sich auf folgende öffentlich zugängliche Quellen (Stand der Recherche: 14. September 2026):

Häufige Fragen

Wie viele Sicherheitslücken hat Microsoft am Patchday im September 2026 geschlossen?

Das hängt von der Zählweise ab. BleepingComputer zählt 966 Lücken, die Microsoft am 8. September 2026 veröffentlicht hat, davon 105 kritische. Die Zero Day Initiative von Trend Micro kommt auf 972 neue CVEs von Microsoft und zusammen mit externen und Chromium-Lücken auf 997, davon 114 kritische. Beide Quellen sprechen von einem Rekord.

Welche Lücken aus dem September-Update wurden bereits ausgenutzt?

Laut BleepingComputer und ZDI sind es CVE-2026-81963 im Windows Update Stack und CVE-2026-85880 in Windows ALPC. Beide erlauben laut BleepingComputer eine lokale Rechteausweitung auf SYSTEM-Rechte. Wie sie ausgenutzt wurden, hat Microsoft nicht mitgeteilt, ZDI empfiehlt, beide Korrekturen schnell einzuspielen.

Welche Probleme bestätigt Microsoft bei Remote Desktop nach dem Update?

Laut Microsoft können die Remote Desktop Services in manchen Umgebungen instabil werden: RDP-Verbindungen brechen nach einigen Minuten ab, Anmeldungen scheitern oder Server hängen bei der Meldung „Please wait for the Remote Desktop Configuration“. Betroffen sind laut BleepingComputer Windows Server ab 2012 sowie Windows 10 und Windows 11. Microsoft will das Problem mit einem künftigen Update beheben und nennt dafür keinen Termin.

Sollte ein Betrieb das September-Update jetzt einspielen oder abwarten?

Zwei der geschlossenen Lücken werden bereits ausgenutzt, und wer das Update deinstalliert, entfernt laut BleepingComputer auch die Sicherheitskorrekturen. Aus unserer Sicht sollten Updates nicht wochenlang liegen bleiben, aber gestaffelt kommen, zuerst auf einem Rechner oder Server, der nicht geschäftskritisch ist. Wer einen Terminalserver betreibt, sollte vorher einen zweiten Zugangsweg kennen, etwa die Konsole beim Hoster oder am Hypervisor. Für eine sofortige Umgehung verweist Microsoft an den Microsoft Support for Business.

Wer im Betrieb legt fest, in welcher Reihenfolge Updates auf Rechner und Server kommen?

Im kostenlosen KI-Schnupperkurs zeigen wir in fünf Lektionen, wie kleine und mittlere Firmen KI im Alltag einsetzen. Tiefer und praxisnah geht es im Vollkurs Digitalisierungsmanager, DEKRA-zertifiziert und förderfähig über den Bildungsgutschein.

Zuletzt aktualisiert: 14. September 2026. Stand der Recherche: 14. September 2026.