Microsoft schließt im September rekordverdächtige 972 Schwachstellen, 112 davon kritisch

Microsofts Sicherheitsupdate vom September 2026 behebt rekordverdächtige 972 Schwachstellen, 112 davon mit kritischer Einstufung. Zählt man die portierten Chromium-Fixes in Edge hinzu, kommt man auf 997, wie Dustin Childs von der Zero Day Initiative errechnet hat.

Der Rekord folgt auf eine rasante Steigerung. Zwei Monate zuvor hatte Microsoft 570 Schwachstellen geschlossen, im darauffolgenden Monat rund 620. Auch Google und andere Hersteller veröffentlichten zuletzt Rekordzahlen. Childs nennt den Anstieg die neue Normalität und führt ihn auf KI-gestützte Schwachstellensuche zurück. Einen entsprechenden Anstieg aktiver Exploits gebe es bislang nicht.

Zwei Wochen vor dem Release hatten OpenAI, Anthropic, Amazon Web Services, Google, Microsoft und rund 100 weitere Organisationen einen offenen Brief veröffentlicht. Darin warnen sie vor einem schrumpfenden Zeitfenster für Patches angesichts einer erwarteten Welle KI-gestützter Angriffe.

Im laufenden Jahr 2026 hat Microsoft bereits 2.760 Schwachstellen behoben, mehr als doppelt so viele wie im Vorjahr. Bei diesem Tempo wird der Konzern die kombinierten Summen von 2023, 2024 und 2025 übertreffen.

Zu den wichtigsten Fixes gehören zwei Zero-Days: CVE-2026-81963 im Windows-Update-Dienst und CVE-2026-85880 in Windows Advanced Local Procedure Call. Beide werden aktiv ausgenutzt. Details zu den Angreifern sind nicht öffentlich. Weitere von Childs hervorgehobene Lücken: CVE-2026-55007, eine Remote-Code-Ausführung in Exchange Server ohne Authentifizierung, ausgelöst durch eine E-Mail mit bösartigem Visio-Anhang; CVE-2026-80097, eine Rechteausweitung in Microsoft Authenticator; CVE-2026-69465 mit rund 17 RCE-Lücken in SharePoint; CVE-2026-65669, eine von 60 SQL-Server-Rechteausweitungen, ausnutzbar über SQL Copilot; sowie CVE-2026-69525, eine RCE in Remote Desktop Services mit Bewertung 9.8. Mehr als 20 der Lücken sind wurmfähig.

Ob sich KI-gestützte Fehlersuche lohnt, ist umstritten. Kritiker verweisen auf Kosten und Fehlalarme. Mozilla lieferte im Mai ein Gegenbeispiel: Mit dem Werkzeug Mythos fanden die Forscher rekordverdächtige 271 Schwachstellen, fast ohne Fehlalarme.