Zu den gefährlichsten kritischen Lücken dieses Monats zählt CVE-2026-69730, eine DNS-Schwachstelle, die in Windows Server ab Version 2012 sowie in Windows 10 steckt. Laut Microsoft genügt einem nicht authentifizierten Angreifer ein speziell präpariertes Paket an das betroffene System; der Hersteller hält eine Ausnutzung für wahrscheinlich.
Ebenfalls schwer wiegt CVE-2026-69829, eine kritische Lücke zur Codeausführung aus der Ferne in der Windows Shell. Sie erreicht einen CVSS-Basiswert von 9.8 von maximal 10 und lässt sich mit geringer Angriffskomplexität, ohne Privilegien und ohne Interaktion des Nutzers ausnutzen.
Microsoft steht mit den ausufernden Update-Paketen nicht allein da. Auch Adobe, Cisco, Google, Mozilla und Oracle haben KI-gestützte Forschung dafür verantwortlich gemacht, dass Takt und Umfang ihrer Patches zunehmen. Google kündigte am selben Tag an, Sicherheitsupdates künftig alle zwei Wochen auszuliefern.
Tyler Reguly, Associate Director für Sicherheitsforschung und -entwicklung bei Fortra, verweist auf ein Kernproblem beim Ausrollen von Windows-Updates: Sie müssen vor der organisationsweiten Installation getestet werden, weil nicht jede Drittanbieter-Software Änderungen am Betriebssystem reibungslos verkraftet. „Es ist Zeit, unsere CISOs und CSOs in die Pflicht zu nehmen", sagte Reguly. „Wie unterstützen Sie Ihre Teams in diesen schwierigen Zeiten? Lassen Sie nach Feierabend und an Wochenenden ausrollen, um den Geschäftsbetrieb nicht zu stören? Belohnen Sie diesen Aufwand? Es ist Zeit, ins Budget zu greifen und den Teams, die am Samstag Patches verteilen, damit sie fertig sind, bevor die Nutzer am Montag zurückkommen, ein Abendessen zu kaufen."
Satnam Narang, Senior Staff Research Engineer bei Tenable, ordnet die Zahlen ein: Zwar steige die Menge der von Microsoft behobenen Schwachstellen, die Zahl der Lücken, die die meisten Organisationen tatsächlich betreffen können und werden, bleibe aber gering. „KI-gestützte Schwachstellensuche erzeugt 2026 größere Heuhaufen, findet aber nicht mehr Nadeln", sagte er. Entscheidend sei, dass Organisationen verstehen, welche Schwachstellen für sie überhaupt gelten, ob sie erreichbar und ausnutzbar sind und damit eine Bedrohung darstellen — und die Behebung anhand dieses Risikokontexts priorisieren.
Privatnutzer müssen Patches nicht vor der Installation testen, sollten Windows Update aber regelmäßig öffnen oder den Hinweisen auf ausstehende Aktualisierungen zustimmen. Angesichts der wachsenden Update-Pakete empfiehlt es sich, sie nicht Monat für Monat aufzuschieben.
Administratoren in Unternehmen finden auf askwoody.com Hinweise zu Updates, die Probleme verursachen; das SANS Internet Storm Center veröffentlicht wie gewohnt eine nach Schweregrad und Dringlichkeit sortierte Aufschlüsselung der einzelnen Patches.