Microsoft hat im September 2026 mit 974 behobenen Sicherheitslücken den bislang größten monatlichen Patch veröffentlicht. Darunter sind zwei bereits aktiv ausgenutzte Zero-Day-Schwachstellen zur Rechteausweitung und 20 potenziell wormable Schwachstellen, die Remote Code Execution ohne Authentifizierung oder Benutzerinteraktion ermöglichen. Für IT-Abteilungen ist die Zahl allein aber nur der sichtbare Teil des Problems. Entscheidend ist, dass sich die Eingangsmenge an Schwachstellen durch KI-gestützte Analyse deutlich erhöht. Patch-Management wird damit weniger eine Frage der Vollständigkeit als eine Frage der belastbaren Sortierung.
Die beiden ausgenutzten Zero-Days sind CVE-2026-85880 und CVE-2026-81963. Sie betreffen Windows Advanced Local Procedure Call, kurz ALPC, sowie den Windows Update Stack. Beide erlauben lokalen Angreifern, Systemrechte zu erlangen. Das ist operativ relevant, weil Rechteausweitung in vielen Angriffsketten nicht am Anfang steht, sondern nach dem ersten Zugriff eingesetzt wird. Ein Angreifer, der bereits auf einem System gelandet ist, kann damit aus eingeschränkten Rechten administrative Kontrolle machen.
Die 20 potenziell wormable Schwachstellen haben ein anderes Risikoprofil. Sie erlauben nach den bekannten Angaben Remote Code Execution ohne Authentifizierung oder Benutzerinteraktion. Solche Fehler sind für Unternehmen besonders unangenehm, weil sie sich im ungünstigen Fall automatisiert von System zu System ausnutzen lassen. Ob daraus tatsächlich ein Wurm entsteht, hängt von Erreichbarkeit, Konfiguration, Schutzmaßnahmen und der Verfügbarkeit funktionierender Exploits ab. Für die Priorisierung reicht aber schon die Möglichkeit, um diese Lücken vor vielen anderen Einträgen zu behandeln.
Mehr gefundene Lücken sind kein einfacher Sicherheitsgewinn
Der Rekordwert ist eng mit dem Einsatz von KI-Systemen zur Schwachstellenentdeckung bei Microsoft verbunden. Solche Systeme können Codepfade, Muster und Fehlertypen in einer Breite prüfen, die manuell kaum wirtschaftlich wäre. Das erhöht die Zahl der gemeldeten und behobenen Fehler. Für Hersteller ist das zunächst nützlich: Mehr interne Funde bedeuten mehr Chancen, Schwachstellen zu schließen, bevor sie breit ausgenutzt werden.
Vom Patch-Paket zur Priorisierung
Die Grafik zeigt, wie große Patch-Mengen operativ sortiert werden müssen: erst aktive Ausnutzung und wormable RCE, dann Umgebungskontext, dann Verteilung und Kontrolle.
Für Kunden entsteht daraus aber kein linearer Sicherheitsgewinn. Ein Unternehmen kann 974 Korrekturen nicht gleich behandeln, wenn es produktive Windows-Umgebungen, Fachanwendungen, Legacy-Systeme, Testfenster und Wartungsverträge berücksichtigen muss. Jede Korrektur muss verteilt, geprüft und im Zweifel zurückgerollt werden können. Große Patch-Mengen erhöhen deshalb die Anforderungen an Inventarisierung, Testautomatisierung und Änderungsmanagement.
Die technische Entdeckung skaliert schneller als die organisatorische Umsetzung. Das ist der operative Kern dieser Meldung. Wenn KI mehr Schwachstellen findet, wächst der Katalog der zu bewertenden Risiken. Die Kapazität der Teams, diese Risiken in konkrete Maßnahmen zu übersetzen, wächst nicht im gleichen Tempo. Wer keine saubere Sicht auf exponierte Systeme, betroffene Dienste und geschäftskritische Abhängigkeiten hat, verliert Zeit in der falschen Reihenfolge.
Die Priorisierung muss näher an die eigene Umgebung
Die übliche Sortierung nach Schweregrad reicht bei einer Patch-Menge dieser Größenordnung nicht aus. Ein hoher CVSS-Wert sagt wenig darüber, ob ein bestimmtes Unternehmen verwundbar ist, ob der betroffene Dienst überhaupt aktiv ist oder ob ein System aus dem Internet erreichbar ist. Umgekehrt kann eine formal weniger auffällige Lücke gefährlich sein, wenn sie genau in einem exponierten Bestandteil der eigenen Umgebung liegt.
Die zwei aktiv ausgenutzten Privilege-Escalation-Zero-Days gehören in vielen Umgebungen nach oben, weil sie bereits praktisch verwendet wurden. Danach folgen die potenziell wormable RCE-Schwachstellen, vor allem dort, wo betroffene Systeme erreichbar oder lateral im Netz relevant sind. Erst danach wird die breite Masse der übrigen Fixes planbar abgearbeitet. Das klingt banal, ist in großen Unternehmen aber ein Datenproblem: Ohne aktuelle Asset-Daten, Softwarestände und Netzsegmentierung bleibt Priorisierung eine Annahme.
KI verschiebt an dieser Stelle nicht nur die Entdeckung, sondern indirekt auch die Anforderungen an Betriebsteams. Wenn Hersteller monatlich sehr große Mengen an Fixes liefern, müssen Kunden ihre eigenen Entscheidungsprozesse maschinenlesbarer machen. Asset-Management, Schwachstellenscanner, Endpoint-Daten, Ticketing und Change-Prozesse müssen enger zusammenspielen. Andernfalls produziert die bessere Erkennung vor allem mehr Warteschlange.
Keine Entwarnung durch fehlenden Exploit-Anstieg
Nach aktuellem bekannten Stand gibt es trotz der stark gestiegenen Zahl entdeckter Schwachstellen keinen entsprechenden proportionalen Anstieg aktiv ausgenutzter Fehler. Das ist wichtig, weil die reine Patch-Zahl leicht zu falschen Schlüssen führt. 974 Fixes bedeuten nicht automatisch 974 akute Angriffswellen. Viele Schwachstellen werden unter bestimmten Voraussetzungen relevant, betreffen spezielle Komponenten oder erfordern lokale Bedingungen.
Für Unternehmen ist das dennoch keine Entwarnung. Die zwei ausgenutzten Zero-Days zeigen, dass relevante Fehler weiterhin in produktiven Windows-Komponenten liegen. Die 20 wormable Schwachstellen zeigen zusätzlich, dass es neben der bereits beobachteten Ausnutzung auch Risiken gibt, bei denen Geschwindigkeit zählt. Ein langsam arbeitender Patch-Prozess wird nicht dadurch sicherer, dass viele andere Lücken nie ausgenutzt werden.
Die praktische Folge ist ein zweistufiges Modell. Erstens müssen bekannte aktive Ausnutzungen und potenziell automatisierbare RCE-Lücken schnell behandelt werden. Zweitens muss die restliche Patch-Menge in geplante, nachvollziehbare Zyklen überführt werden. Wer versucht, alles gleichzeitig als Notfall zu behandeln, überlastet Betrieb und Fachbereiche. Wer alles in normale Wartungsfenster schiebt, akzeptiert unnötig lange Exposition.
Hersteller finden schneller, Kunden müssen sauberer betreiben
Für Microsoft ist der Rekord-Patch auch ein Signal an Unternehmenskunden: Der Hersteller investiert in die systematische Suche nach Fehlern, auch mit KI-gestützten Verfahren. Das kann Vertrauen schaffen, erhöht aber zugleich die Betriebslast auf Kundenseite. Der Wert eines Patches entsteht erst, wenn er zuverlässig auf den relevanten Systemen ankommt.
Das betrifft besonders Organisationen mit vielen Windows-Servern, dezentralen Standorten, alten Fachanwendungen oder strengen Verfügbarkeitsanforderungen. Dort ist Patchen selten ein reiner Download-Vorgang. Es ist ein Prozess aus Kompatibilitätsprüfung, Freigabe, Verteilung, Kontrolle und Nacharbeit. Je größer die monatliche Menge, desto stärker fallen schwache Prozessstellen auf: unvollständige Inventare, manuelle Ausnahmen, fehlende Testumgebungen, unklare Verantwortlichkeiten.
Die Meldung zeigt deshalb keine abstrakte KI-Debatte, sondern einen konkreten Betriebsdruck. KI-Systeme können Hersteller in die Lage versetzen, mehr Schwachstellen früher zu finden. Sie nehmen Kunden aber nicht die Arbeit ab, die eigene Umgebung risikobasiert zu steuern. Der September-Patch von Microsoft ist damit vor allem ein Hinweis auf den neuen Normalbetrieb: mehr Funde, größere Patch-Pakete, engeres Zeitfenster für die wirklich kritischen Fälle.
Unternehmen sollten daraus keine allgemeine Panik ableiten. Sinnvoller ist eine nüchterne Anpassung der Abläufe. Kritische Systeme müssen bekannt sein. Exponierte Dienste müssen sichtbar sein. Patches für aktiv ausgenutzte und potenziell wormable Schwachstellen brauchen getrennte, schnellere Pfade. Die übrige Masse benötigt verlässliche Automatisierung und Kontrolle. Ohne diese Trennung wird KI-gestützte Schwachstellenentdeckung nicht zum Sicherheitsvorteil, sondern zu zusätzlicher operativer Last.
Jens analysiert seit Jahren digitale Märkte, Preisbewegungen und Plattform-Strategien. Als Betreiber mehrerer datengetriebener Systeme wertet er täglich große Mengen an Produkt- und Trenddaten aus. Sein Fokus liegt auf Einordnung statt Hype: Was bedeutet eine Entwicklung wirklich für Nutzer, Preise und Märkte?
