LONDON (IT BOLTWISE) – Microsofts Patch-Release für September fällt mit rund 972 behobenen Schwachstellen besonders groß aus, davon 112 mit kritischer Einstufung. In der Branche wird das als Reaktion auf eine zunehmende Geschwindigkeit bei der Suche und Ausnutzung von Sicherheitslücken diskutiert. Ein Sicherheitsforscher spricht dabei von einer „new normal“-Entwicklung, obwohl bisher keine entsprechende Explosion aktiver Angriffe beobachtet wurde. Gleichzeitig rücken zwei Windows-Zero-Days in den Fokus.
Microsofts „Patch Tuesday“ für September markiert in der Breite der behobenen Schwachstellen einen neuen Rekord: Insgesamt nennt das Release rund 972 behobene Sicherheitslücken, darunter 112 mit kritischer Schwere. Schon zwei Monate zuvor hatte das Unternehmen mit etwa 570 gefixten Schwachstellen einen damaligen Bestwert geliefert; im Folgemonat waren es rund 620 gewesen. Diese Dynamik ist nicht auf Microsoft beschränkt: Auch andere Anbieter melden in den letzten Monaten wiederholt ungewöhnlich hohe Zahlen. Der Hintergrund ist dabei weniger ein plötzlicher Qualitätsabfall als vielmehr der Druck auf Teams, Lücken schneller zu identifizieren und vor allem vor der produktiven Ausnutzung zu schließen – ein Thema, das inzwischen auch explizit in einer großen Warnung an die Branche aufgegriffen wurde.
Für die Einordnung lohnt sich ein Blick auf die „Zählmechanik“: Die exakte Zahl monatlicher Schwachstellen ist laut Dustin Childs, einem Researcher bei der Zero Day Initiative, nicht immer direkt vergleichbar. Manche Fehler seien bereits zuvor adressiert gewesen oder beträfen primär Nicht-Microsoft-Produkte. In Childs Zählweise kommt das September-Release auf 972 gepatchte Schwachstellen; außerdem werden 997 gezählt, wenn die Portierung von Fixes für den Chromium-Browser berücksichtigt wird, der in Edge integriert ist. Solche Details sind wichtig, weil Security-Benchmarks sonst suggerieren, die Industrie würde plötzlich „mehr Bugs“ produzieren – tatsächlich geht es meist um unterschiedliche Zählräume, Produktabdeckung und die Frage, ob Plattform- und Browserkomponenten gemeinsam bilanziert werden.
Technisch stehen in diesem Monat zwei Zero-Days besonders weit oben: CVE-2026-81963 im Windows Update Service und CVE-2026-85880 in der Windows Advanced Local Procedure. Öffentliche Informationen dazu, wer diese Schwachstellen ausnutzt oder wie breit die Ausnutzung bereits sein könnte, fehlen laut Bericht. Daneben nennt Childs mehrere weitere Problemfelder mit deutlichen Auswirkungen. Dazu zählt etwa CVE-2026-55007 in Exchange Server: Ein Angreifer könnte demnach Codeausführung auf einem betroffenen Exchange-System erreichen, ohne zusätzliche Aktionen außer dem Versand einer E-Mail mit einem bösartigen Visio-Anhang. Auch bei Authentifizierungssystemen steigt das Risiko: CVE-2026-80097 beschreibt eine lokale Rechteausweitung in Microsoft Authenticator, die Childs als „worst type“ dieser Kategorie einordnet, weil sie direkt den Authentifizierungsmechanismus selbst betrifft.
Mehrere Einträge zeigen außerdem, wie heterogen die Angriffsflächen geworden sind. CVE-2026-69465 sammelt rund 17 verschiedene Schwachstellen in Microsoft Office SharePoint, die remote Codeausführung ermöglichen. Im Datenbankkontext adressiert CVE-2026-65669 eine Rechteausweitung im SQL Server, die angeblich dann ausgelöst wird, wenn ein Nutzer Anweisungen über SQL Copilot übermittelt. Remote Desktop Services ist ebenfalls betroffen: CVE-2026-69525 ist als Remote-Code-Execution-Fehler mit einer Schwerebewertung von 9,8 eingeordnet. Childs berichtet zudem, er habe so viele „wormable“ Schwachstellen identifiziert, dass er nach 20 nicht weiter gezählt habe. Gerade diese Kategorie ist operativ heikel, weil kein Nutzerinteraktionsschritt zwingend erforderlich ist und sich Schadsoftware potentiell selbstständig über Systeme hinweg ausbreiten kann – ein Szenario, das Incident Response und Patch-Fenster in der Praxis extrem belastet.
In der Debatte spielt Künstliche Intelligenz (KI) inzwischen eine doppelte Rolle: als Werkzeug zur beschleunigten Schwachstellenanalyse und zugleich als Faktor, der Angreifer beim Skalieren von Entdeckung und Ausnutzung unterstützt. Das wurde auch in einer offenen Warnung deutlich, die von OpenAI, Anthropic, Amazon Web Services, Google, Microsoft sowie weiteren Organisationen unterzeichnet wurde und die auf ein enger werdendes Zeitfenster bei der Behebung hinweist. Dustin Childs beschreibt in diesem Kontext die hohen Patch-Zahlen als „new normal“ und warnt zugleich davor, dass die potenziellen Schäden durch KI-gestützte Angriffe dennoch erheblich werden können, obwohl bis dato eine spürbare Steigerung aktiver Exploits nicht zu beobachten gewesen sei. Er schreibt dabei: „On the one hand, congrats to the security gnomes at Microsoft for being able to patch bugs at this rate, “ und weiter: „On the other hand, AI-assisted vulnerability discovery shows no signs of slowing down. However, we have not seen a correlating spike in active exploits – yet.“
Gleichzeitig ist die Wirksamkeit KI-gestützter Schwachstellenjagd umstritten. Kritiker verweisen auf die Kosten für LLM-gestützte Analyse, auf potenziell hohe Raten an Fehlalarmen und darauf, dass Hersteller mit den gleichen KI-Engines Geld verdienen wollen, die anschließend zur Entdeckung und zum Patchen eingesetzt werden. Die Gegenseite argumentiert jedoch, dass die Ergebnisse – insbesondere die Rekordzahlen schwerer Funde über mehrere Anbieter hinweg – für sich sprechen. Als Beispiel wird auf eine Aussage der Mozilla-Forscher verwiesen, die ihre KI-gestützte Suche mit dem System „Mythos“ im Mai beschrieben und dabei 271 Schwachstellen gemeldet hätten, mit „almost none“ Fehlpositiven. Wie gut sich das langfristig in der Realität beweist, lässt sich erst nach Monaten bis Jahren wirklich bewerten, weil die eigentliche Messgröße nicht die Anzahl der Reports, sondern das Verhältnis von „gepatcht bevor ausgenutzt“ zu „ausgenutzt trotz Patch“ ist.
Für Unternehmen ergibt sich daraus eine klare operative Konsequenz: Die Patch-Planung darf nicht mehr nur nach traditionellem Kalender erfolgen, sondern muss das Risiko von „wormable“ Ketten und von nicht rechtzeitig geschlossenen Zonen berücksichtigen. Wenn zwei Wochen zuvor bereits eine breite Warnung vor einem „tsunami“ KI-ermöglichter, aktiv ausnutzender Angriffe veröffentlicht wird, wirkt das September-Release wie eine Präventivreaktion auf ein beschleunigtes Bedrohungsmodell. Gleichzeitig bleibt die Lücke zwischen Bedrohungsprognose und beobachteter Exploit-Realität ein Unsicherheitsfaktor, der in der Sicherheitskommunikation transparent bleiben sollte. Microsofts Zahlen und die Nennung der betroffenen Produktbereiche zeigen jedenfalls: Die Sicherheitsarchitektur in Unternehmen muss so designt sein, dass sie nicht nur einzelne Systeme patcht, sondern auch Abhängigkeiten wie Browser-Komponenten, Middleware und kollaborative Plattformen im Blick behält.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Microsoft veröffentlicht 972 Sicherheits-Patches: 112 davon kritisch" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Microsoft veröffentlicht 972 Sicherheits-Patches: 112 davon kritisch" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Microsoft veröffentlicht 972 Sicherheits-Patches: 112 davon kritisch« bei Google Deutschland suchen, bei Bing oder Google News!