Der September-Patchday von Microsoft fällt so umfangreich aus wie nie zuvor: 973 Schwachstellen hat das Unternehmen offengelegt und damit erstmals die Schwelle von 900 überschritten. Zwei der Lücken stehen bereits unter aktivem Beschuss – das hat die US-Behörde CISA bestätigt. Betroffen sind CVE-2026-81963 und CVE-2026-85880; Bundesbehörden in den USA müssen die Updates bis zum 22. September einspielen.
Satnam Narang von Tenable erläutert, dass CVE-2026-81963 eine Komponente betrifft, über die Windows-Updates installiert werden. CVE-2026-85880 wiederum steckt in einem Nachrichtensystem von Windows. Parallel dazu weist Nick Carroll, Sicherheitsexperte beim Anbieter Nightwing, darauf hin, dass mehr als 22.000 Exchange-Server in Unternehmen nach wie vor ungepatcht sind – und das, obwohl bereits einsatzfähiger Exploit-Code kursiert.
Fachleute ordnen Schwachstellen wie CVE-2026-81963 als typischen Einstiegspunkt in eine Ransomware-Kette ein: Angreifer bringen zunächst einen einzelnen Nutzer per Phishing dazu, Zugang preiszugeben, und weiten diesen Zugriff anschließend über eine Rechteausweitung aus.
Besonders heikel ist dabei die betroffene Komponente selbst. “Die Komponente verschlimmert die Lage. Wer den Update-Stack kontrolliert, kontrolliert genau das Werkzeug, mit dem man ihn wieder loswerden würde”, sagt Serena DiPenti, Entwicklerin beim Anbieter Automox. Und weiter: “Wenn man nicht sagen kann, wann der Update-Stack zuletzt gelaufen ist, kann man auch nicht sagen, ob er gepatcht ist.”
Der Rekord ist kein Ausreißer, sondern die Fortsetzung einer steilen Kurve. Im Juli hatte Microsoft mit Korrekturen für mehr als 600 Sicherheitslücken den bis dahin größten Patchday ausgeliefert – ein Wert, der bereits das Dreifache des im Monat zuvor aufgestellten Rekords betrug. Narang rechnet vor, dass die Zahl der in diesem Jahr offengelegten Schwachstellen mit dem aktuellen Patchday die Marke von 2.600 überschreitet. Das ist bereits mehr als doppelt so viel wie im bisherigen Rekordjahr 2020.
Eine Erklärung für den Anstieg liefern Sicherheitsforscher und Verteidiger seit Monaten selbst: Der Einsatz von KI-gestützten Werkzeugen zur Code-Überprüfung führe zu einer Welle kleinerer Schwachstellen, die sich für gefährliche Angriffe miteinander verketten lassen.
Nicht nur Microsoft veröffentlichte in diesem Monat Korrekturen. Diksha Ojha, Sicherheitsexpertin bei Qualys, verweist zusätzlich auf eine von Adobe gemeldete Schwachstelle mit dem Schweregrad “kritisch” in Adobe Commerce.