Microsoft stellt mit 974 September-Fixes einen Patch-Rekord auf

Die September-Veröffentlichung von Microsofts Patch Tuesday 2026 behob mindestens 974 Schwachstellen in Windows und anderer Software – das größte einzelne Update-Paket des Unternehmens überhaupt, wie KrebsOnSecurity berichtet. Das Unternehmen gibt an, dass künstliche Intelligenz hilft, Schwachstellen schneller zu entdecken, aber Sicherheitsexperten warnen, dass viele Organisationen bereits Schwierigkeiten haben, so viele Fixes jeden Monat zu testen und bereitzustellen.

Die Veröffentlichung übertrifft den bisherigen Rekord von mindestens 570 im Juli behobenen Schwachstellen bei weitem und bringt die Gesamtzahl für 2026 auf mehr als 2.600. Das ist mehr als doppelt so viel wie im bisherigen Rekordjahr 2020 mit 1.245 – und es bleiben noch drei Monate im Jahr.

Zwei der in diesem Monat behobenen Schwachstellen sind Zero-Day-Schwachstellen, das heißt, Angreifer nutzen sie bereits aus, bevor ein Patch verfügbar war. Sowohl CVE-2026-81963 als auch CVE-2026-85880 ermöglichen es einem Angreifer, seine Privilegien auf einem Windows-System zu erhöhen und so im Wesentlichen höhere Zugriffsrechte zu erlangen, als er haben sollte. Microsoft stufte 113 der Fehler als kritisch ein, die Schweregradstufe für Fehler, die es Malware oder Angreifern ermöglichen könnten, ein verwundbares System mit wenig oder keiner Benutzeraktion zu übernehmen.

Zu den schwerwiegendsten gehört CVE-2026-69730, ein DNS-Fehler in Windows Server 2012 und später sowie in Windows 10. Microsoft warnt, dass ein nicht authentifizierter Angreifer ihn ausnutzen könnte, indem er einfach ein speziell gestaltetes Paket an ein betroffenes System sendet, und dass eine Ausnutzung wahrscheinlich ist. DNS, das Domain Name System, ist der Internetdienst, der benutzerfreundliche Namen wie example.com in die numerischen Adressen übersetzt, die Computer verwenden, um sich zu erreichen. Ein zweites kritisches Problem, CVE-2026-69829, ist ein Remote-Code-Ausführungsfehler in der Windows-Shell, dem Teil von Windows, der den Desktop und die Datei-Explorer-Oberfläche bereitstellt. Es hat einen CVSS-Schweregrad von 9,8 von 10 und kann mit geringer Komplexität, ohne Privilegien und ohne Benutzerinteraktion ausgenutzt werden.

Microsoft ist nicht der einzige große Anbieter, der monströse Patch-Pakete ausliefert. Adobe, Cisco, Google, Mozilla und ein weiterer großer Softwareanbieter haben kürzlich KI-gestützte Forschung dafür verantwortlich gemacht, ihre Patch-Frequenz und ihr Patch-Volumen zu erhöhen, so der Krebs-Bericht. Google gab heute bekannt, dass es nun alle zwei Wochen Sicherheitsupdates veröffentlichen wird. Tyler Reguly, Associate Director of Security Research and Development bei Fortra, sagte, eine Kernherausforderung sei, dass Windows-Updates getestet werden müssen, bevor sie in einer Organisation installiert werden, da Drittanbieter-Software möglicherweise nicht nahtlos funktioniert, wenn sich das Betriebssystem ändert. Er rief Chief Information Security Officers und Chief Security Officers dazu auf, ihre Teams durch schwierige Patch-Zyklen zu unterstützen, einschließlich der Belohnung von Überstunden- und Wochenendarbeit und der Bereitstellung von Budgets für Mahlzeiten für Mitarbeiter, die Patches vor Montag bereitstellen. Satnam Narang, Senior Staff Research Engineer bei Tenable, warnte, dass, obwohl die Zahl der gepatchten Schwachstellen steigt, die Zahl derjenigen, die die meisten Organisationen betreffen können und werden, recht gering bleibt. Er sagte, KI-gestützte Entdeckung schaffe größere Heuhaufen, finde aber nicht mehr Nadeln, und forderte Organisationen auf zu verstehen, welche Schwachstellen tatsächlich auf sie zutreffen, und basierend auf diesem Risikokontext zu priorisieren.

Für normale Windows-Benutzer ist der Rat einfacher: Sie müssen Patches nicht testen, bevor Sie sie installieren, aber Sie müssen Windows Update regelmäßig öffnen oder seinen Erinnerungshinweisen zu ausstehenden Updates zustimmen. Da diese Update-Pakete Monat für Monat schnell wachsen, schafft deren Anhäufung ein größeres Zeitfenster der Gefährdung. Windows-Administratoren in Unternehmen sollten auf askwoody.com nach Berichten über Updates Ausschau halten, die Probleme verursachen, und das SANS Internet Storm Center bietet eine Aufschlüsselung pro Patch, geordnet nach Schweregrad und Dringlichkeit. Für Unternehmen, die Windows-Server oder Websites verwalten, wird die wachsende Patch-Flut die Patch-Priorisierung und das Testen zu einer kritischen operativen Aufgabe. AEU-I bietet sicherheitsorientierte IT- und Infrastrukturberatung, einschließlich Anleitungen, die Teams helfen können, zu planen und zu priorisieren, welche Microsoft-Updates zuerst in ihrer Umgebung bereitgestellt werden sollen.