Microsoft hat am 8. September 2026 laut BleepingComputer 966 Schwachstellen geschlossen, mehr als je zuvor. Zwei Zero-Days in Windows werden ausgenutzt, CISA setzte die Frist auf den 22. September. Am 11. September meldete Microsoft Probleme mit den Remote Desktop Services, die ein Update vom 14. September behebt. Der Artikel ordnet Zahlen, Fristen und Reihenfolge ein.
Microsoft hat am 8. September 2026 so viele Sicherheitslücken geschlossen wie nie zuvor. Zwei davon nutzen Angreifer bereits aus. Wer Remote-Desktop-Server betreibt, sollte ausserdem den Folgepatch vom 14. September prüfen.
Das Wichtigste in Kürze
- Der Patchday bricht den bisherigen Rekord. BleepingComputer zählt 966 behobene Schwachstellen, davon 105 kritisch. Die Zero Day Initiative kommt auf 972 Einträge und 114 kritische.
- Zwei Zero-Days werden bereits ausgenutzt. CVE-2026-81963 im Windows Update Stack und CVE-2026-85880 in Windows ALPC heben lokal Rechte bis SYSTEM an.
- Danach hingen Remote-Desktop-Server. Microsoft dokumentiert Verbindungsabbrüche und blockierte Anmeldungen, behoben durch das Update KB5129195 vom 14. September.
- CISA verlangt die Zero-Day-Updates bis zum 22. September. Die Frist gilt für US-Behörden und dient als Richtwert für Firmen.
Wie gross der Rekord ist
Microsoft hat die Updates am 8. September 2026 veröffentlicht. Den Eintrag zum RDS-Problem in der Windows Release Health legte der Hersteller am 11. September an und aktualisierte ihn zuletzt am 17. September 2026.
Laut BleepingComputer übertrifft die Zahl den Juli mit 570 und den August mit rund 400 Lücken. Als Grund nennt der Bericht den Einsatz von KI-Systemen, die Fehler in grosser Menge finden. Die Verteilung nach Art der Lücke zeigt, wo das Risiko liegt:
| Art der Lücke | Anzahl | Einordnung |
|---|---|---|
| Rechteausweitung | 438 | Grösste Gruppe, beide Zero-Days gehören dazu |
| Remotecodeausführung | 258 | 81 der 105 kritischen Lücken |
| Offenlegung von Informationen | 173 | Unter den kritischen nur zwei |
| Übrige drei Arten | 91 | Dienstverweigerung, Umgehung von Schutzfunktionen, Spoofing |
Quelle: BleepingComputer, Zählung vom 8. September 2026. Die Teilsummen ergeben 960 und nicht 966; die Quelle erklärt die Differenz nicht.
Die zwei Zero-Days
Beide Lücken stehen seit dem 8. September im Katalog der bekannten ausgenutzten Schwachstellen von CISA, jeweils mit Frist zum 22. September. CVE-2026-81963 nutzt eine falsche Auflösung von Verknüpfungen vor dem Dateizugriff. CVE-2026-85880 ist ein Heap-Pufferüberlauf in ALPC. Beide erfordern lokalen Zugriff, doch Angreifer verbinden solche Fehler gern mit einer ersten Infektion.
Remote Desktop: was nach dem Update passierte
Microsoft hat am 11. September ein Problem nach dem Septemberupdate dokumentiert. Dabei brechen RDP-Verbindungen nach einigen Minuten ab, Anmeldungen scheitern, oder Server hängen bei "Please wait for the Remote Desktop Configuration". Auch MMC, die Lizenzdiagnose und der Explorer reagieren dann nicht mehr. Betroffen sind Windows Server ab 2012 sowie Windows 10 und 11, nicht aber Windows 365 und Azure Virtual Desktop.
Das ausserplanmässige Update KB5129195 vom 14. September behebt den Fehler. Es ist kumulativ und enthält alle früheren Sicherheitskorrekturen. Wer vorübergehend eine Gruppenrichtlinie als Abhilfe eingesetzt hat, muss vor der Installation nichts zurücknehmen. Seit dem 16. September führt Microsoft zudem einen weiteren Eintrag: Geräte mit Credential Guard können den sicheren Kanal zur Domäne verlieren.
Was Admins jetzt tun
- Installiere das Septemberupdate zuerst auf den Systemen, die die beiden Zero-Days betreffen, in der Praxis auf allen Windows-Geräten.
- Spiele auf RDS-Servern gleich KB5129195 mit ein, nicht nur das Septemberupdate.
- Staffle den Rollout: erst ein unkritisches System, dann die Breite. So rät es auch Skill Sprinters.
- Prüfe auf Domänen-Clients mit Credential Guard, ob die Anmeldung weiter klappt.
Auch ausserhalb von Windows läuft im selben Monat Patchpflicht: Der Beitrag zu den MikroTik-RouterOS-Lücken zeigt, welche Geräte jetzt dran sind.
Fazit
966 Lücken an einem Tag verlangen eine feste Reihenfolge: zuerst die zwei Zero-Days, dann der Rollout in Stufen. Wer RDS betreibt, nimmt gleich das Update vom 14. September mit. Einmal vorbereitet, lässt sich diese Reihenfolge jeden Monat wiederholen.
Quellen: BleepingComputer, Windows Release Health, CISA-Katalog bekannter ausgenutzter Lücken, Skill Sprinters. Foto: yeiferr / Pixabay. Stand: 18. September 2026.
Recherche und Entwurf KI-gestützt, geprüft und freigegeben von Andreas Brauckmann · So arbeitet die Redaktion
Änderungshistorie
- — Artikel veröffentlicht.