Das Wichtigste in Kürze
- Microsoft hat am 8. September 2026 sein Monatsupdate veröffentlicht. Im offiziellen Datensatz des Microsoft Security Response Center stehen dafür 1.170 CVE-Nummern; 973 davon hat Microsoft selbst mit einer Auswirkung versehen. Das ist nach eigener Auszählung von NETZ-TRENDS der höchste Wert der fünf ausgewerteten Monatsausgaben.
- Zwei Lücken werden bereits angegriffen: CVE-2026-81963 im Windows Update Stack und CVE-2026-85880 in der Windows-Komponente ALPC. Beide führen zu Systemrechten, beide sind von Microsoft mit „Exploitation Detected“ gekennzeichnet und mit CVSS 7,8 bewertet.
- Die US-Behörde CISA hat beide Nummern am 8. September in ihren Katalog ausgenutzter Schwachstellen aufgenommen und US-Bundesbehörden eine Frist bis zum 22. September 2026 gesetzt. Für private Rechner in Deutschland, Österreich und der Schweiz gilt diese Frist nicht.
Microsoft hat an diesem Dienstag sein Monatsupdate für Windows, Office und die übrigen eigenen Produkte veröffentlicht – und es ist ungewöhnlich groß. Der maschinenlesbare Datensatz zur Ausgabe September 2026, den das Microsoft Security Response Center parallel zu jedem Monatsupdate veröffentlicht, enthält 1.170 unterschiedliche CVE-Nummern. Für 973 davon nennt Microsoft eine Auswirkung – von der Rechteausweitung bis zur Codeausführung aus der Ferne.
Zwei dieser Lücken sind der eigentliche Grund, das Update nicht bis zum Wochenende liegen zu lassen: Sie werden nach Angaben von Microsoft und der US-Cybersicherheitsbehörde CISA bereits angegriffen.
Zwei Lücken werden bereits ausgenutzt – beide enden mit Systemrechten
Microsoft kennzeichnet im Datensatz genau zwei Einträge mit „Exploited: Yes“ und dem Zusatz „Exploitation Detected“. Beide betreffen Windows, beide sind lokale Angriffe, und beide enden nach Darstellung des Herstellers damit, dass ein Angreifer Systemrechte erlangt – die höchste Rechtestufe eines Windows-Systems.
Bei CVE-2026-85880 in der Komponente Advanced Local Procedure Call beschreibt Microsoft den Weg ungewöhnlich konkret. In der Übersetzung der Redaktion heißt es dort: Ein Angreifer, der Code in einem AppContainer mit geringen Rechten ausführen könne, könne die Schwachstelle lokal ausnutzen, um aus der Sandbox auszubrechen und die Rechte auf dem betroffenen System auszuweiten; zusätzliche Nutzerinteraktion sei nicht erforderlich. Der Sandkasten, der Schadcode einsperren soll, ist für diesen Weg damit keine Grenze mehr.
CVE-2026-81963 sitzt an einer besonders heiklen Stelle: im Windows Update Stack, also in dem Mechanismus, über den dieselben Sicherheitsupdates eingespielt werden. Microsoft beschreibt sie als fehlerhafte Auflösung von Verknüpfungen vor einem Dateizugriff. Bemerkenswert ist auch, welche Systeme jeweils auf der Liste stehen: Die Update-Stack-Lücke betrifft ausschließlich Windows 11 und Windows Server 2025, die ALPC-Lücke ausschließlich Windows 10 und Windows-Server-Versionen von 2012 bis 2022.
| Schwachstelle | Betroffene Systeme | Gemeldet von | CVSS |
|---|---|---|---|
| CVE-2026-81963 Windows Update Stack |
Windows 11 in den Versionen 23H2, 24H2, 25H2 und 26H1; Windows Server 2025 (10 Produktvarianten) | Romain Deperne, Microsoft Threat Intelligence Centre | 7,8 |
| CVE-2026-85880 Windows ALPC |
Windows 10 in den Versionen 1607, 1809, 21H2 und 22H2; Windows Server 2012 bis 2022 (20 Produktvarianten) | Volexity sowie Mark Kelly, David Galazin und Jeremy Hedges (Proofpoint) | 7,8 |
Auffällig ist die Einstufung: Microsoft bewertet beide Lücken als „Important“, nicht als „Critical“. Das ist kein Widerspruch, sondern Folge der Systematik – Rechteausweitung setzt voraus, dass jemand bereits Code auf dem Rechner ausführen kann. In der Praxis ist das ein typischer zweiter Schritt in Angriffsketten: erst hinein, dann hoch.
Warum an diesem Abend mehrere verschiedene Zahlen kursieren
In der englischsprachigen Fachberichterstattung stehen an diesem Abend 966, 973 und 974 Schwachstellen nebeneinander. Die Abweichungen sind keine Fehler, sondern unterschiedliche Zählweisen – und sie lassen sich am Datensatz nachvollziehen.
Die Auswertung von NETZ-TRENDS ergibt: 1.170 CVE-Nummern insgesamt, davon 973 mit einer Auswirkungsangabe durch Microsoft. Die Differenz von 197 Einträgen besteht fast vollständig aus fremden Komponenten, die Microsoft mitveröffentlicht, ohne sie selbst zu bewerten – Pakete des Betriebssystems Azure Linux 3.0 wie Kernel, curl, nginx oder libxml2 sowie Chromium-Lücken, die über Microsoft Edge weitergereicht werden. Die 973 entsprechen exakt der Zahl der eingestuften Einträge in dieser Auszählung. Warum andere Auswertungen auf 966 oder 974 kommen, legen sie im Einzelnen nicht offen; die Spanne entsteht daraus, welche Produktgruppen und Kategorien jeweils mitgezählt werden.
Nach dem Schweregrad, den Microsoft zusätzlich vergibt, gelten 119 Schwachstellen als „Critical“, 910 als „Important“, 104 als „Moderate“ und 14 als „Low“; bei 23 Einträgen fehlt diese Angabe. Fast jede zweite eingestufte Lücke – 438 von 973 – führt zu höheren Rechten auf dem System, 258 zur Ausführung von Code aus der Ferne.
Der Höchstwert gilt für die eingestuften Lücken – im Juli war der Datensatz größer
Vom größten Sicherheitsupdate in der Geschichte des Unternehmens ist an diesem Abend in der englischsprachigen Berichterstattung die Rede. Ob das trägt, hängt davon ab, welche der beiden Zählweisen man anlegt. NETZ-TRENDS hat dazu vier weitere Monatsausgaben abgerufen und nach demselben Verfahren ausgezählt.
| Monatsausgabe | CVE-Nummern gesamt | davon eingestuft | als „Critical“ | bereits ausgenutzt |
|---|---|---|---|---|
| September 2025 | 401 | 94 | 15 | 0 |
| Juni 2026 | 1.285 | 222 | 82 | 0 |
| Juli 2026 | 2.005 | 663 | 106 | 3 |
| August 2026 | 1.645 | 458 | 149 | 1 |
| September 2026 | 1.170 | 973 | 119 | 2 |
Auf der Zahl der eingestuften Lücken ist der September 2026 mit 973 der höchste der fünf ausgewerteten Werte – gegenüber 94 im September 2025 ist das mehr als das Zehnfache. Auf der Gesamtzahl der CVE-Nummern liegt der Monat dagegen im Mittelfeld: Der Juli 2026 kam auf 2.005, der August auf 1.645. Beides ist richtig, beides misst etwas anderes. Verglichen wurden fünf Monatsausgaben; über längere Zeiträume trifft diese Auswertung keine Aussage.
Warum die eingestuften Lücken innerhalb eines Jahres derart zunehmen, geht aus dem Datensatz nicht hervor. Das IT-Sicherheitsportal BleepingComputer führt die Entwicklung auf ein KI-gestütztes Verfahren zur Schwachstellensuche zurück, das Microsoft intern einsetze. Der Datensatz selbst enthält dazu keine Angabe.
Die US-Behörde CISA setzt eine Frist – für Privatgeräte gilt sie nicht
Die amerikanische Cybersicherheitsbehörde CISA hat beide ausgenutzten Lücken noch am 8. September 2026 in ihren Katalog bekannter ausgenutzter Schwachstellen aufgenommen. Der Katalog trug bei Abruf die Version 2026.09.08 und 1.699 Einträge. Für beide Nummern nennt er als Frist den 22. September 2026.
Diese Frist richtet sich an US-Bundesbehörden und stützt sich auf eine dortige Anordnung zur Priorisierung von Sicherheitsupdates. Für Haushalte und Unternehmen in Deutschland, Österreich und der Schweiz gilt sie nicht. Ihr Wert liegt anderswo: Mit der Aufnahme in den Katalog bestätigt neben dem Hersteller auch eine Behörde, dass die Lücken tatsächlich angegriffen werden.
Was jetzt zu prüfen ist
- Automatische Updates: Auf Privatgeräten läuft die Installation in der Regel von selbst, aber nicht zwingend sofort. Unter Einstellungen, Windows Update lässt sich die Suche manuell anstoßen.
- Neustart nicht aufschieben: Beide ausgenutzten Lücken sitzen in Systemkomponenten. Wirksam werden die Updates erst mit dem Neustart.
- Ältere Systeme prüfen: Die angegriffene ALPC-Lücke betrifft Windows 10 und Windows Server 2012. Wer solche Rechner betreibt, sollte kontrollieren, ob sie überhaupt noch Updates erhalten.
Betroffen sind auch Systeme außerhalb des regulären Supports
Die Produktliste zu CVE-2026-85880 reicht von Windows 10 Version 1607 bis Windows Server 2012 R2. Der reguläre Support für Windows 10 endete am 14. Oktober 2025. Microsoft nennt auf seiner deutschsprachigen Seite zu den erweiterten Sicherheitsupdates den 12. Oktober 2027 als Ende des Programms für Privatpersonen und zwei Wege hinein: mit einem Microsoft-Konto angemeldet bleiben – wobei die Abdeckung nach einem Zeitraum von bis zu 60 Tagen ohne Anmeldung endet – oder ein einmaliger Kauf für 30 US-Dollar beziehungsweise den Gegenwert in der Landeswährung zuzüglich anfallender Steuern, der ein lokales Konto erlaubt. Eine Lizenz gilt nach diesen Angaben für bis zu zehn Geräte.
Für Haushalte im deutschsprachigen Raum ist das die praktisch wichtigste Zeile des Abends: Ein Rechner, der ohne erweiterte Sicherheitsupdates läuft, bekommt den Patch für eine Lücke nicht, die nach Angaben von Microsoft und CISA bereits angegriffen wird.
Was der Datensatz offenlässt
Drei Fragen beantwortet die Veröffentlichung nicht. Erstens sagt Microsoft nicht, wie breit die beiden Lücken ausgenutzt werden – „Exploitation Detected“ bedeutet, dass Angriffe beobachtet wurden, nicht, in welchem Umfang. Zweitens ist offen, wer angreift; die Meldung von CVE-2026-81963 durch das Microsoft Threat Intelligence Centre und die von CVE-2026-85880 durch Volexity und Proofpoint deutet auf gezielte Vorfälle hin, benannt wird niemand. Drittens fehlt eine Erklärung, warum die Zahl der eingestuften Lücken binnen eines Jahres um mehr als das Zehnfache gestiegen ist – ob mehr Fehler gefunden oder mehr gefundene Fehler veröffentlicht werden, macht für die Beurteilung einen Unterschied.
Zur Einordnung: Sicherheitsupdates in dieser Größenordnung sind inzwischen kein Ausnahmefall mehr. NETZ-TRENDS hat im August über 29 Sicherheitslücken in iOS 26.6.1 berichtet, von denen allein 21 in der Browser-Engine WebKit steckten. Welche Folgen es hat, wenn eine Lücke tatsächlich ausgenutzt wird, zeigte zuletzt der Fall des Berliner Landesnetzes, nach dem das deutsche Bundesamt für Sicherheit in der Informationstechnik vor gezielten Phishing-Angriffen warnte.
Was als Nächstes ansteht
Zwei Termine stehen fest. Der 22. September 2026 ist die Frist, die CISA den US-Bundesbehörden für beide Lücken gesetzt hat. Der 13. Oktober 2026 ist als zweiter Dienstag des Monats der nächste reguläre Microsoft-Updatetermin.
Ob die 973 eingestuften Lücken des Septembers ein Ausreißer bleiben oder der neue Normalfall werden, lässt sich frühestens an der Oktoberausgabe ablesen. Der zugehörige Datensatz erscheint nach dem bisherigen Muster am selben Tag wie die Updates.
Installieren Sie Sicherheitsupdates sofort, oder schieben Sie den Neustart regelmäßig auf? Schreiben Sie uns Ihre Meinung gerne in die Kommentare.
Quellen
- Microsoft Security Response Center: CVRF-Datensatz „September 2026 Security Updates“, abgerufen am 8. September 2026; ebenso die Datensätze für August 2026, Juli 2026, Juni 2026 und September 2025
- Microsoft: Sicherheitsupdates KB5122871 und KB5122876
- Microsoft: Erweiterte Sicherheitsupdates (ESU) für Windows 10, abgerufen am 8. September 2026
- Cybersecurity and Infrastructure Security Agency (USA): Known Exploited Vulnerabilities Catalog, Version 2026.09.08, abgerufen am 8. September 2026
- BleepingComputer: Bericht zum Septemberupdate vom 8. September 2026
- Eigene Auswertung NETZ-TRENDS der genannten CVRF-Datensätze (Zählung der CVE-Nummern, Auswirkungen, Einstufungen und der als ausgenutzt gekennzeichneten Einträge)
Transparenzhinweis: Bei Recherche, Strukturierung und Erstellung dieses Beitrags kamen KI-gestützte Werkzeuge zum Einsatz. Die verwendeten Quellen sind im Artikel aufgeführt. Die Veröffentlichung erfolgt erst nach manueller redaktioneller Freigabe.
