Microsoft Patchday September 2026: was drin ist, bekannte Probleme, was KMU tun sollten

Die kurze Antwort: Der Microsoft Patchday vom 8. September 2026 ist der umfangreichste seit Langem. Der Security Update Guide von Microsoft führt für den Monat 1.206 CVE-Einträge, davon 30 aus dem Chromium-Projekt für den Browser Edge; 119 Einträge stuft Microsoft als kritisch ein. Zwei Lücken in Windows werden bereits aktiv ausgenutzt: CVE-2026-81963 im Windows-Update-Stack und CVE-2026-85880 im Dienst ALPC. Beide erlauben einem Angreifer, der bereits Code auf dem Gerät ausführt, die Ausweitung auf SYSTEM-Rechte. Für Windows 11 24H2 und 25H2 heißt das Update KB5124008, für Windows 10 22H2 mit ESU KB5122878, für Windows Server 2025 KB5122871. Neue Probleme durch die September-Updates nennt Microsoft bislang keine; sie beheben im Gegenteil drei Fehler der August-Updates. Stand: 11. September 2026.

Zahlen des Monats

Die Zahlen stammen aus der maschinenlesbaren Fassung des Security Update Guide (CVRF), abgerufen am 11. September 2026. Die Fachpresse nennt zwischen 964 und 974 Schwachstellen, weil sie Drittanbieter- und Edge-Einträge herausrechnet; die Größenordnung ist in jeder Zählung ein Rekord. Nach Produktfamilien betreffen 715 Einträge Windows (72 davon kritisch), 107 Office und die Microsoft 365 Apps (21 kritisch), 64 SQL Server (5 kritisch), 217 Azure-Dienste, 16 SharePoint Server und 9 Exchange Server; die SharePoint- und Exchange-Lücken sind alle als wichtig, keine als kritisch eingestuft.

Die wichtigsten Lücken in Klartext

Die beiden Zero-Days. CVE-2026-81963 steckt im Windows-Update-Stack: Ein angemeldeter Angreifer kann über eine fehlerhafte Auflösung von Dateiverknüpfungen SYSTEM-Rechte erlangen. Betroffen sind laut Microsoft Windows 11 ab Version 23H2 und Windows Server 2025. CVE-2026-85880 ist ein Heap-Überlauf in ALPC, dem internen Nachrichtendienst von Windows: Wer Code in einer abgeschotteten AppContainer-Umgebung ausführen kann, etwa über einen kompromittierten Browser-Prozess, bricht damit aus der Sandbox aus und erhält höhere Rechte, ohne weitere Nutzeraktion. Betroffen sind laut Microsoft Windows 10 in allen Versionen ab 1607 sowie Windows Server 2012 bis 2022; Windows 11 und Windows Server 2025 stehen für diese Lücke nicht in der Liste. Beide Lücken tragen den Schweregrad „wichtig" und einen CVSS-Wert von 7,8, sind aber deshalb gefährlich, weil sie in der Praxis das zweite Glied einer Angriffskette bilden: Erst kommt Schadcode über Phishing oder eine Browser-Lücke auf das Gerät, dann hebelt die Rechteausweitung den Rest aus.

Outlook und Office: das Vorschaufenster reicht. Drei kritische Lücken in Outlook (CVE-2026-78509 mit CVSS 9,8, CVE-2026-78519 und CVE-2026-78525) erlauben Codeausführung; bei zwei davon nennt Microsoft ausdrücklich das Vorschaufenster als Angriffsweg, ein Klick auf die Mail ist also nicht nötig. Dazu kommen kritische Lücken in Word (CVE-2026-77504), Excel (CVE-2026-81948 und weitere) und in Office allgemein (CVE-2026-69285), die jeweils das Öffnen einer präparierten Datei voraussetzen. Betroffen sind die Microsoft 365 Apps ebenso wie Office 2016, 2019, LTSC 2021 und LTSC 2024. Für Office LTSC für Mac 2021 und 2024 standen die Updates laut Microsoft am Patchday noch nicht bereit und werden nachgereicht.

Server-Dienste, die in jedem Firmennetz laufen. CVE-2026-72982 in Netlogon erreicht CVSS 9,8: Ein nicht angemeldeter Angreifer könnte mit einem präparierten Netzwerkpaket Code auf dem Domänencontroller ausführen; Microsoft hält eine Ausnutzung zwar für unwahrscheinlich, die Lücke gehört trotzdem ganz nach oben auf die Liste. CVE-2026-69676 in Kerberos (CVSS 8,8) stuft Microsoft dagegen als „Ausnutzung wahrscheinlicher" ein, hier genügt ein Konto mit geringen Rechten im Netz. Dazu kommen fünf kritische Lücken im Windows-DNS-Server, zwei im DHCP-Server, vier im Routing- und RAS-Dienst, eine in Hyper-V (Ausbruch aus einer virtuellen Maschine, CVE-2026-69603) und eine im Remotedesktop (CVE-2026-69518, über die Zwischenablage in einer Freigabesitzung). Wer einen Domänencontroller, einen Hyper-V-Host oder einen Terminalserver betreibt, plant den Neustart für diese Systeme zuerst.

Exchange Server. Für Exchange Server gibt es neun Schwachstellen, alle als wichtig eingestuft. Die Sicherheitsupdates gibt es für Exchange Server Subscription Edition (KB5121608) sowie Exchange Server 2019 CU15 (KB5121609) und CU14 (KB5121610). Für Exchange Server 2016 CU23 führt Microsoft ebenfalls ein Update (KB5121611). Für Exchange 2016 und 2019 setzt Microsoft laut Ankündigung im Exchange-Team-Blog eine Anmeldung zum Extended-Security-Update-Programm der zweiten Periode voraus. Exchange Online ist ohne eigenes Zutun geschützt. Zum Update für die Subscription Edition nennt Microsoft zwei bekannte Probleme: Veröffentlichte Kalender (ICS-Dateien) liefern nach der Installation den Fehler HTTP 500, und in Hybridumgebungen, die ausschließlich über die Graph-API arbeiten, schlägt die Frei/Gebucht-Abfrage für delegierte Postfächer fehl. Microsoft empfiehlt nach der Installation den Health Checker.

SQL Server. Vier kritische Lücken zur Codeausführung (unter anderem CVE-2026-67378) und eine zur Rechteausweitung (CVE-2026-65669) betreffen SQL Server. Kleine Unternehmen haben SQL Server oft unbemerkt im Haus, als Unterbau von Warenwirtschaft, Buchhaltung oder Zeiterfassung. Fragen Sie beim Hersteller der Fachanwendung nach, ob das Update freigegeben ist.

Bekannte Probleme

Für das Windows-11-Update KB5124008 (Builds 26200.9445 und 26100.9445) schreibt Microsoft: „Microsoft is not currently aware of any issues with this update." Das Update enthält das Wartungsstack-Update KB5124007 und behebt drei Fehler aus dem August: Microsoft Teams und das neue Outlook starteten auf ARM-Geräten wie Surface Pro 11 und Surface Laptop 7 nicht mehr (nach KB5121003 vom 11. August), und nach dem optionalen Update KB5120998 vom 27. August gingen auf manchen Geräten der Desktop-Hintergrund (schwarz statt Bild) und die Mauszeiger-Anpassungen verloren. Alle drei Einträge stehen in Microsofts Release Health seit dem 8. September auf „behoben". Außerdem weitet das Update laut Microsoft die Verteilung der neuen Secure-Boot-Zertifikate aus.

Weiter offen ist ein Fehler, der nicht am Patchday hängt: Nach den jüngsten Updates der Defender-Antivirus-Plattform erscheinen auf Windows- und Windows-Server-Systemen Meldungen, Microsoft Defender Antivirus sei deaktiviert, obwohl der Schutz aktiv ist. Microsoft hat das am 28. August als bekanntes Problem bestätigt und arbeitet an einer Korrektur über ein künftiges Defender-Update. Wer die Meldung sieht, prüft in „Windows-Sicherheit", ob der Echtzeitschutz eingeschaltet ist, und ignoriert die Meldung ansonsten.

Für Windows Server 2025 und Windows 10 22H2 listet Microsoft am 11. September außer der Defender-Meldung keine offenen Probleme. Die Einträge in Release Health können sich in den Tagen nach dem Patchday ändern; wir aktualisieren diesen Abschnitt bei relevanten Neuerungen.

Was KMU jetzt tun sollten

1. Reihenfolge festlegen. Zuerst die Systeme mit Netzwerk-Angriffsfläche: Domänencontroller (Netlogon, Kerberos, DNS, DHCP), Hyper-V-Hosts, Terminalserver und Exchange. Dann alle Clients wegen der beiden ausgenutzten Rechteausweitungen und der Outlook-Lücken.
2. Testgruppe zuerst. Zwei bis drei repräsentative Geräte und ein unkritischer Server erhalten das Update sofort, der Rest ein bis zwei Arbeitstage später. So fällt ein Problem mit einer Fachanwendung auf, bevor es alle trifft. Länger als eine Woche sollte der Abstand bei zwei aktiv ausgenutzten Lücken nicht sein.
3. Backup vor dem Server-Neustart prüfen. Nicht nur, ob die Sicherung gelaufen ist, sondern ob sich ein Server daraus wiederherstellen ließe. Bei Exchange zusätzlich den Health Checker nach dem Update laufen lassen.
4. Neustarts planen. Die September-Updates verlangen einen Neustart. Für Server einen Termin außerhalb der Arbeitszeit ansetzen und die Mitarbeitenden bitten, Notebooks über Nacht angeschaltet und am Netz zu lassen, damit Windows Update sie erreicht.
5. Office-Stand kontrollieren. Die Microsoft 365 Apps aktualisieren sich über Klick-und-Los; prüfen Sie unter „Datei > Konto", ob der aktuelle Stand angekommen ist. Wegen der Vorschaufenster-Lücken in Outlook hilft der Ratschlag „nichts anklicken" diesmal nicht.
6. Windows 10 nur mit ESU. Das Update KB5122878 erhalten ausschließlich Geräte, die für Extended Security Updates registriert sind. Windows-10-Geräte ohne ESU bekommen seit Oktober 2025 keine Sicherheitsupdates mehr und gehören ersetzt oder migriert.
7. Patchstand nachweisen. Nach dem Rollout sollte eine Liste zeigen, welches Gerät welchen Build hat und wo der Neustart noch aussteht. Genau dafür ist Monitoring und Patchmanagement da: Updates werden gesteuert verteilt, Ausreißer sichtbar, und der Patchstand ist für Cyberversicherung und Audit belegt.

Nächster Patchday: 13. Oktober 2026

Der nächste Patchday ist Dienstag, der 13. Oktober 2026; die Updates erscheinen wie immer gegen 19 Uhr deutscher Zeit. Der Tag ist zugleich ein Stichtag: Windows 11 Version 24H2 erhält für Home und Pro die letzten Updates, Office 2021 und Office LTSC 2021 laufen aus dem Support, Windows Server 2012 und 2012 R2 bekommen die letzten Extended Security Updates, das erste ESU-Jahr von Windows 10 endet und Windows Server 2022 wechselt in den Extended Support. Alle Termine mit Erinnerung finden Sie in unserem Kalender der Microsoft-Support-Enden, alle Patchday-Termine 2026/2027 als Tabelle und ICS-Datei auf der Patchday-Seite.

Häufige Fragen

Welche KB-Nummer gilt für mein System?

Windows 11 Version 26H1: KB5124012 (Build 28000.2954). Windows 11 Version 25H2 und 24H2: KB5124008 (Builds 26200.9445 und 26100.9445). Windows 11 Version 23H2: KB5122880 (Build 22631.7582). Windows 10 Version 22H2 mit ESU: KB5122878. Windows Server 2025: KB5122871. Windows Server 2022: KB5122882. Windows Server 2019: KB5122876. Windows Server 2016: KB5123099. Windows Server 2012 R2: KB5123066. Windows Server 2012: KB5123065. Die Build-Nummer sehen Sie unter „Einstellungen > System > Info" oder mit dem Befehl winver.

Muss ich sofort installieren oder reicht die Testgruppe?

Beides. Die beiden ausgenutzten Lücken setzen voraus, dass ein Angreifer bereits Code auf dem Gerät ausführt; sie sind kein Wurm, der von allein durchs Netz läuft. Eine Testgruppe von ein bis zwei Arbeitstagen ist deshalb vertretbar, ein Aufschub von Wochen nicht. Systeme mit Netzwerk-Angriffsfläche wie Domänencontroller und Exchange gehören in die erste Welle.

Windows meldet, Defender Antivirus sei deaktiviert. Ist der Schutz weg?

In der Regel nicht. Microsoft hat am 28. August 2026 bestätigt, dass nach den jüngsten Defender-Plattform-Updates falsche Meldungen erscheinen, obwohl der Virenschutz aktiv ist. Prüfen Sie in „Windows-Sicherheit > Viren- und Bedrohungsschutz", ob der Echtzeitschutz eingeschaltet ist. Steht er auf „Ein", ist die Meldung der bekannte Fehler; eine Korrektur kommt über ein Defender-Update.

Wir nutzen noch Windows 11 Version 23H2 oder 24H2 Home und Pro. Was ändert sich?

Für Windows 11 Version 24H2 Home und Pro endet der Update-Support am 13. Oktober 2026, der Oktober-Patchday ist damit der letzte für diese Editionen; nicht verwaltete Geräte erhalten Version 25H2 automatisch. Bei Version 23H2 sind Home und Pro bereits ohne Updates, Enterprise und Education werden bis zum 10. November 2026 versorgt. Wer diese Versionen noch im Einsatz hat, plant das Versions-Update jetzt, am besten per Intune gesteuert.

So unterstützt Sie die High5Manufaktur GmbH

Die High5Manufaktur GmbH betreut kleine und mittlere Unternehmen im Raum Karlsruhe und bundesweit. Wir verteilen Windows- und Office-Updates gesteuert über Intune und unser Patchmanagement, halten Server-Neustarts außerhalb der Arbeitszeit, prüfen vorher die Sicherung und liefern Ihnen den Patchstand als Nachweis. Als Cloud Solution Provider (CSP) kümmern wir uns auch um Lizenzfragen wie ESU für Windows 10. Im kostenlosen Erstgespräch klären wir, wo Ihre Umgebung nach diesem Patchday steht.

Quellen

• Microsoft Security Response Center: September 2026 Security Updates (Security Update Guide, CVRF-Daten)
• Microsoft Support: September 8, 2026, KB5124008 (OS Builds 26200.9445 and 26100.9445)
• Microsoft Learn: Windows 11 release information, Stand 08.09.2026
• Microsoft Learn: Windows 11, version 24H2 known issues and notifications, Stand 11.09.2026
• Microsoft Learn: Windows Server 2025 known issues and notifications, Stand 11.09.2026
• Microsoft Learn: Windows 10, version 22H2 known issues and notifications, Stand 11.09.2026
• Microsoft Support: Security update for Exchange Server Subscription Edition RTM, September 8, 2026 (KB5121608)
• Microsoft Tech Community: Released: September 2026 Exchange Server Security Updates
• BleepingComputer: Microsoft September 2026 Patch Tuesday fixes 966 flaws, 2 zero-days
• Tenable: Microsoft's September 2026 Patch Tuesday Addresses 964 CVEs