Es gibt Patchdays, die man getrost eine Woche liegen lassen kann. Dieser gehört nicht dazu.
Am 8. September 2026 hat Microsoft die größte Sammelladung Sicherheitsupdates seiner Geschichte veröffentlicht. Die Zählungen der Sicherheitsfirmen gehen leicht auseinander — je nachdem, ob fremde Komponenten wie der Chrome-Unterbau von Edge mitgerechnet werden, landen sie bei 966 bis 974 Schwachstellen. In jedem Fall: neuer Rekord, und ein deutlicher Sprung gegenüber den rund 400 Lücken vom August.
Zwei Lücken sind schon in Gebrauch
Die Menge ist beeindruckend, aber nicht das eigentliche Problem. Entscheidend sind zwei Einträge, die Microsoft als bereits ausgenutzt markiert — das ist die Kategorie, bei der Angreifer nicht erst einen Weg suchen müssen, sondern ihn schon gefunden haben.
CVE-2026-85880 steckt im Advanced Local Procedure Call, kurz ALPC. Das ist der hausinterne Postweg von Windows: Programme und Systemdienste reichen darüber Nachrichten hin und her. Ein Speicherfehler in diesem Postweg erlaubt es, aus einer stark eingesperrten Umgebung — einem sogenannten AppContainer, wie ihn Browser und Store-Apps nutzen — auszubrechen und sich bis auf SYSTEM-Rechte hochzuarbeiten. Ohne weiteres Zutun des Nutzers.
Bemerkenswert daran: Microsoft hatte diese Komponente seit April 2023 nicht mehr angefasst. Es ist erst die zweite ALPC-Lücke seit knapp vier Jahren, die aus laufenden Angriffen heraus gemeldet wurde.
CVE-2026-81963 zielt auf den Windows-Update-Stack — also ausgerechnet auf jene Maschinerie, die die anderen 973 Lücken schließen soll. Der Fehler liegt in der Art, wie Windows Verknüpfungen auflöst, bevor es auf eine Datei zugreift. Wer eine solche Verknüpfung geschickt umbiegt, kann den Update-Dienst dazu bringen, an einer Stelle zu schreiben, an der er nichts zu suchen hat.
Warum die Zahl so explodiert ist
Fast tausend Lücken an einem Tag klingen nach einem Dammbruch. Der nüchterne Hintergrund: Microsoft lässt seit rund einem Jahr eigene KI-Werkzeuge systematisch durch den eigenen Quellcode laufen, und die finden deutlich mehr als menschliche Prüfer allein. Ein großer Teil der Einträge sind Funde aus dieser internen Suche, die nie in freier Wildbahn aufgetaucht sind.
Für dich heißt das: Die Rekordzahl ist eher ein Zeichen dafür, dass gründlicher gesucht wird — kein Beleg dafür, dass Windows über Nacht unsicherer geworden wäre. Die beiden Zero-Days bleiben trotzdem dringend.
Was du heute machen solltest
Auf dem Arbeitsrechner: Windows Update öffnen, alles einspielen, neu starten. Beide Zero-Days sind Rechteausweitungen — sie brauchen also erst einen Fuß in der Tür, etwa über einen Anhang oder eine präparierte Webseite. Genau deshalb sind sie in Kombination mit Phishing so beliebt.
Im Homelab: Windows-VMs unter Proxmox oder Hyper-V werden gern vergessen, weil sie nur im internen Netz hängen. Auch die brauchen den Patch — ein kompromittierter Browser in der VM reicht als Startpunkt.
Auf Servern: Vor dem Neustart einen Wiederherstellungspunkt oder Snapshot anlegen. Bei einem Update dieser Größe ist die Wahrscheinlichkeit für einen Nebeneffekt schlicht höher als sonst.
Wenn du Updates zentral verwaltest: Priorisieren statt alles gleichzeitig. Die beiden ausgenutzten Lücken zuerst, der Rest in der üblichen Welle. Wer den Update-Ring auf 30 Tage Verzögerung stehen hat, sollte diesen Monat eine Ausnahme definieren.
Und wenn du nicht sofort patchen kannst?
Dann hilft die alte Regel: Rechte klein halten. Beide Zero-Days heben Berechtigungen an — sie sind nutzlos, wenn niemand Code auf der Maschine startet. Kein Alltagskonto mit Administratorrechten, Makros aus, Anhänge aus unbekannten Quellen nicht öffnen. Das ersetzt den Patch nicht, verkleinert aber das Zeitfenster.