Der Patch Tuesday im September 2026 ist der größte in Microsofts Geschichte: 966 Sicherheitslücken, davon 105 als kritisch eingestuft und zwei Zero-Days, die bereits aktiv ausgenutzt werden. Für Unternehmen in Wertheim und dem Main-Tauber-Kreis bedeutet das: sofort handeln, priorisieren und die wichtigsten Updates zuerst einspielen. Die CoKom GmbH ordnet ein, welche Schwachstellen für KMU und Arztpraxen in der Region Baden-Württemberg besonders gefährlich sind.
Was macht den Patchday im September 2026 zum Rekord?
Der September-Patchday ist ein Ausreißer. Microsoft hat am 8. September 2026 Sicherheitsupdates für 966 Schwachstellen veröffentlicht — mehr als doppelt so viele wie im August (rund 400). Davon sind 105 als kritisch bewertet, 81 davon ermöglichen die Ausführung von Schadcode aus der Ferne (Remote Code Execution).
Die Updates betreffen nahezu das gesamte Microsoft-Ökosystem. Die Verteilung zeigt, wie breit die Angriffsfläche ist:
| Produkt | Anzahl Patches | Davon kritisch |
|---|---|---|
| Windows (10, 11, Server) | 726 | 62 |
| Microsoft Office | 135 | 22 |
| SQL Server | 62 | 8 |
| Exchange Server | 9 | 3 |
| SharePoint Server | 16 | 5 |
| Entwicklertools / Azure | 22 | 5 |
Die Zahl allein ist nicht das Problem. Entscheidend ist, dass zwei der Schwachstellen bereits in freier Wildbahn ausgenutzt werden — bevor viele Unternehmen die Updates überhaupt eingespielt haben.
Die zwei Zero-Days: CVE-2026-81963 und CVE-2026-85880
Ein Zero-Day ist eine Sicherheitslücke, die Angreifer ausnutzen, bevor ein Patch verfügbar ist. Im September 2026 betrifft das zwei Schwachstellen, die beide zur Rechteausweitung auf SYSTEM-Ebene führen — dem höchsten Berechtigungslevel unter Windows.
CVE-2026-81963 — Windows Update Stack
Diese Schwachstelle im Windows-Update-Mechanismus erlaubt es Angreifern, über eine fehlerhafte Link-Auflösung SYSTEM-Rechte zu erlangen. Wer bereits Zugang zum System hat (etwa über Phishing), kann damit die vollständige Kontrolle übernehmen.
CVE-2026-85880 — Windows ALPC
Ein Heap-Buffer-Overflow in der Windows-Prozesskommunikation (Advanced Local Procedure Call) ermöglicht ebenfalls die Ausweitung von Berechtigungen auf SYSTEM-Level. Lokale Angreifer können darüber Sicherheitsmechanismen umgehen.
Beide Schwachstellen setzen voraus, dass ein Angreifer bereits einen Fuß in der Tür hat — etwa durch eine Phishing-Mail oder gestohlene Zugangsdaten. In Kombination mit anderen Lücken werden sie zur vollständigen Systemübernahme. Das macht schnelles Patchen zur Pflicht.
Outlook-Vorschaufenster als Einfallstor: 12 kritische Office-Lücken
Besonders brisant für den Arbeitsalltag: Zwölf der 22 kritischen Office-Schwachstellen lassen sich allein durch das Vorschaufenster in Outlook auslösen. Es genügt, eine präparierte Datei im Lesebereich anzuzeigen — kein Doppelklick, kein Öffnen eines Anhangs, keine Makro-Bestätigung.
Für eine Anwaltskanzlei oder eine Arztpraxis im Main-Tauber-Kreis, die täglich Hunderte E-Mails mit Anhängen bearbeitet, ist das ein reales Szenario. Die Mitarbeiterin am Empfang scrollt durch den Posteingang, das Vorschaufenster zeigt eine manipulierte Word-Datei — und der Schadcode läuft bereits im Hintergrund.
Sofortmaßnahme: Prüfen Sie, ob das Vorschaufenster in Outlook für alle Mitarbeitenden aktiviert ist. Bis zum Einspielen der September-Patches kann das temporäre Deaktivieren der Vorschau das Risiko reduzieren. Sprechen Sie mit Ihrem IT-Dienstleister, um die Updates schnellstmöglich einzuspielen.
Patch-Prioritäten für KMU und Arztpraxen
966 Patches auf einmal einspielen — das überfordert jedes Unternehmen ohne eigene IT-Abteilung. Die gute Nachricht: Nicht alle Schwachstellen sind gleich dringend. Entscheidend ist die richtige Reihenfolge.
| Priorität | Was patchen | Warum |
|---|---|---|
| Sofort | Windows-Updates (CVE-2026-81963, CVE-2026-85880) | Beide Zero-Days werden aktiv ausgenutzt |
| Sofort | Microsoft Office / Outlook | 12 Lücken auslösbar über Vorschaufenster |
| Innerhalb 48 Stunden | Exchange Server | 3 kritische Schwachstellen, extern erreichbar |
| Innerhalb einer Woche | SQL Server, SharePoint | Kritische Lücken, aber meist nur intern erreichbar |
| Im regulären Wartungsfenster | Übrige Windows- und Office-Patches | Wichtig, aber geringeres Ausnutzungsrisiko |
So läuft ein sicheres Patch-Management ab
Updates einfach blindlings auf alle Rechner zu verteilen, kann Probleme verursachen — etwa wenn ein Patch mit einer Branchensoftware kollidiert. Ein strukturierter Ablauf schützt vor bösen Überraschungen:
Zero-Days sofort einspielen
Die beiden aktiv ausgenutzten Schwachstellen und die Outlook-Lücken haben Vorrang. Auf einem Testrechner prüfen, ob kritische Anwendungen weiterhin laufen, dann zeitnah ausrollen.
Testgruppe definieren
Drei bis fünf Arbeitsplätze mit typischer Software (Office, Branchenanwendung, VPN) erhalten die Updates zuerst. Nach 24 Stunden ohne Probleme folgt der Rest.
Server-Patches im Wartungsfenster
Exchange, SQL und SharePoint benötigen einen Neustart. Updates außerhalb der Geschäftszeiten einspielen und anschließend die Dienste kontrollieren.
Ergebnis dokumentieren
Welche Systeme sind gepatcht, welche nicht? Ein kurzer Status pro Gerät hilft bei der nächsten Runde — und ist bei einer IT-Sicherheitsprüfung ohnehin Pflicht.
Windows 10 und Extended Security Updates
Wichtig für Unternehmen mit Windows 10: Der reguläre Support für Windows 10 ist ausgelaufen. Sicherheitsupdates erhalten nur noch Systeme mit einem kostenpflichtigen ESU-Vertrag (Extended Security Updates). Wer diesen nicht abgeschlossen hat, bekommt die September-Patches für Windows 10 nicht — und bleibt verwundbar. Die CoKom GmbH berät Unternehmen in Wertheim und Umgebung zur Migration auf Windows 11 oder zur ESU-Übergangslösung.
Wie die CoKom GmbH beim Patchen unterstützt
Für KMU und Arztpraxen im Main-Tauber-Kreis ohne eigene IT-Abteilung ist ein Rekord-Patchday wie dieser besonders belastend. Als zertifizierter Sophos-Partner und Microsoft-Partner übernimmt die CoKom GmbH das Patch-Management für ihre Kunden vollständig: von der Priorisierung über die Testphase bis zum kontrollierten Rollout.
Das umfasst die Überwachung aller Endgeräte und Server, die Bewertung neuer Patches nach Kritikalität und Relevanz für die eingesetzte Software, sowie die Dokumentation für Compliance-Nachweise wie NIS2 oder die IT-Sicherheitsrichtlinie für Arztpraxen.
Häufige Fragen zum Patch Tuesday September 2026
Muss ich alle 966 Patches installieren?
Nicht einzeln. Die kumulativen Updates für Windows und Office bündeln die relevanten Korrekturen. Entscheidend ist, dass Sie die Updates zeitnah einspielen — angefangen bei den beiden Zero-Days und den Outlook-Lücken. Server-Komponenten wie Exchange oder SQL Server erfordern separate Updates.
Was passiert, wenn ich nicht patche?
Die beiden Zero-Days werden bereits aktiv ausgenutzt. Ungeschützte Systeme sind ein offenes Einfallstor. Hinzu kommt: Cyberversicherungen verlangen zunehmend, dass Sicherheitsupdates innerhalb definierter Fristen eingespielt werden. Wer das versäumt, riskiert im Schadensfall den Versicherungsschutz.
Wie teste ich Patches vor dem Rollout?
Spielen Sie die Updates zuerst auf drei bis fünf Arbeitsplätze ein, die Ihre typische Softwareumgebung abbilden. Prüfen Sie nach 24 Stunden, ob alle Anwendungen stabil laufen. Bei Servern nutzen Sie ein Wartungsfenster außerhalb der Geschäftszeiten. Wenn Sie kein Testverfahren haben, unterstützt Sie Ihr IT-Dienstleister in Wertheim beim Aufbau.
Betrifft das auch Microsoft 365 in der Cloud?
Die Cloud-Dienste von Microsoft 365 (Exchange Online, SharePoint Online, Teams) werden von Microsoft selbst gepatcht. Betroffen sind die lokal installierten Office-Anwendungen (Word, Excel, Outlook) sowie On-Premise-Server. Die Desktop-Apps aktualisieren sich über den Microsoft-365-Update-Kanal — prüfen Sie, ob dieser auf „Current Channel" steht.
Patch Tuesday September 2026 — jetzt handeln
966 Schwachstellen, zwei aktiv ausgenutzte Zero-Days und zwölf Outlook-Lücken, die ohne Klick auslösen: Der September-Patchday 2026 duldet keinen Aufschub. Für Unternehmen und Arztpraxen in Wertheim, dem Main-Tauber-Kreis und Baden-Württemberg übernimmt die CoKom GmbH die Priorisierung, das Testen und den Rollout — damit Sie sich auf Ihr Tagesgeschäft konzentrieren können.