Das Windows September Update 2026 schließt zwei Sicherheitslücken, die nach Angaben von Microsoft und der US-Cybersicherheitsbehörde CISA bereits aktiv ausgenutzt werden. Betroffen sind unterschiedliche Generationen von Windows: CVE-2026-85880 betrifft vor allem Windows 10 und ältere Windows-Server-Versionen, während CVE-2026-81963 Windows 11 und Windows Server 2025 betrifft. Wie die Redaktion von Techify.de unter Berufung auf den Microsoft Security Response Center sowie die Analyse des September-Patch-Tuesday von BleepingComputer berichtet, hat Microsoft die Sicherheitsupdates am 8. September 2026 veröffentlicht.
Besonders relevant ist diesmal nicht allein die Zahl der geschlossenen Schwachstellen, sondern ihr Status: Beide Lücken sind keine theoretischen Angriffsmöglichkeiten. CISA führt CVE-2026-85880 und CVE-2026-81963 seit dem 8. September in seinem Katalog der nachweislich ausgenutzten Sicherheitslücken. Beide ermöglichen eine lokale Rechteausweitung und erreichen nach Microsofts CVSS-Bewertung 7,8 von 10 Punkten.
Für Administratoren bedeutet das, dass die Priorisierung nicht allein nach dem Etikett „Critical“ erfolgen sollte: Aktive Ausnutzung macht diese beiden als „High“ beziehungsweise „Important“ bewerteten Schwachstellen unmittelbar relevant.
Was Microsoft im September tatsächlich geschlossen hat
Der Patch Tuesday vom 8. September fällt ungewöhnlich umfangreich aus. BleepingComputer zählt 966 von Microsoft an diesem Patch Tuesday behobene Schwachstellen, darunter 105 als „Critical“ eingestufte Probleme. Andere Zählweisen kommen auf leicht abweichende Gesamtwerte, weil bereits früher im Monat veröffentlichte Sicherheitsupdates einbezogen werden können. Entscheidend für Windows-Nutzer sind jedoch die beiden bereits ausgenutzten Zero-Days CVE-2026-85880 und CVE-2026-81963.
Microsoft verteilt die September-Patches als kumulative Sicherheitsupdates über Windows Update, Windows Update for Business, Microsoft Update Catalog und bei verwalteten Umgebungen auch über WSUS.
Für Windows 11 24H2 und 25H2 trägt das zentrale Paket die Kennung KB5124008 und hebt die Systeme auf die Builds 26100.9445 beziehungsweise 26200.9445. Windows 11 23H2 erhält KB5122880 mit Build 22631.7582.
Microsoft beschreibt KB5124008 ausdrücklich so:
„Dieses Update bietet Sicherheitsverbesserungen.“
(Microsoft Support, Versionshinweise zu KB5124008 vom 8. September 2026)
Das klingt unspektakulär, ist in diesem Fall aber sicherheitskritisch: Einer der beiden Zero-Days liegt direkt im Windows Update Stack, also in einem zentralen Bestandteil des Windows-Wartungs- und Aktualisierungssystems.
CVE-2026-81963: Zero-Day im Windows Update Stack
CVE-2026-81963 betrifft den Windows Update Stack. Microsoft beschreibt die Schwachstelle als Fehler bei der Auflösung von Links vor einem Dateizugriff – technisch wird das Problem unter anderem CWE-59 „Improper Link Resolution Before File Access“ zugeordnet. Ein bereits authentifizierter Angreifer mit niedrigen Berechtigungen kann die Schwachstelle lokal verwenden, um seine Rechte auszuweiten.
Der CVSS-3.1-Wert beträgt 7,8. Microsofts Bewertungsvektor zeigt einen lokalen Angriffsweg, geringe Angriffskomplexität, bereits erforderliche niedrige Rechte und keine notwendige Interaktion eines weiteren Benutzers. Die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit werden jeweils als hoch bewertet.
Betroffen sind laut den veröffentlichten Microsoft-Daten:
- Windows 11 Version 23H2 – Patchstand mindestens Build 22631.7582 beziehungsweise KB5122880;
- Windows 11 24H2 und 25H2 – mindestens Build 26100.9445 beziehungsweise 26200.9445 mit KB5124008;
- Windows 11 26H1 – mindestens Build 28000.2954 mit KB5124012;
- Windows Server 2025 einschließlich Server Core – mindestens Build 26100.33438.
Die entscheidende Grenze ist damit nicht lediglich die Meldung „Update installiert“, sondern der tatsächlich erreichte OS-Build. In Unternehmensnetzen sollten Administratoren nach der Verteilung deshalb überprüfen, ob die Geräte den jeweiligen korrigierten Build tatsächlich erreicht haben.
CISA hat CVE-2026-81963 am 8. September in den Known Exploited Vulnerabilities Catalog aufgenommen. Für US-Bundesbehörden ist in den veröffentlichten KEV-Daten der 22. September 2026 als Frist zur Umsetzung der vom Hersteller vorgesehenen Maßnahmen hinterlegt.
CVE-2026-85880: Rechteausweitung über Windows ALPC
Der zweite aktiv ausgenutzte Zero-Day, CVE-2026-85880, steckt in Windows Advanced Local Procedure Call, kurz ALPC. ALPC gehört zu den Windows-Mechanismen für die Kommunikation zwischen Prozessen.
Microsoft beschreibt den Fehler als Heap-basierten Buffer Overflow. Ein bereits autorisierter Angreifer kann die Schwachstelle lokal ausnutzen und dadurch seine Berechtigungen erhöhen. Der CVSS-Wert liegt ebenfalls bei 7,8. Der Angriff erfordert niedrige vorhandene Privilegien, aber nach dem von Microsoft veröffentlichten Vektor keine zusätzliche Benutzerinteraktion.
Microsoft ordnet CVE-2026-85880 unter anderem CWE-122 für Heap-based Buffer Overflow und CWE-908 für die Nutzung einer nicht initialisierten Ressource ein. Die offiziell veröffentlichten Produktdaten betreffen vor allem ältere Windows-Generationen.
Dazu gehören:
- Windows 10 Version 1607, 1809, 21H2 und 22H2;
- Windows Server 2012 und Windows Server 2012 R2;
- Windows Server 2016;
- Windows Server 2019;
- Windows Server 2022 sowie die jeweiligen betroffenen Server-Core-Varianten.
Für Windows 10 21H2 und 22H2 wird die Lücke beispielsweise mit KB5122878 geschlossen. Die korrigierten Builds liegen bei 19044.7725 und 19045.7725. Windows Server 2022 erreicht mit dem September-Update Build 20348.5622. Windows 10 1809 und Windows Server 2019 müssen mindestens Build 17763.9245 erreichen.
CISA führt auch CVE-2026-85880 als aktiv ausgenutzte Schwachstelle. Die CISA-Anreicherung des CVE-Datensatzes bewertet die Ausnutzung als „active“ und den möglichen technischen Einfluss als vollständig.
Warum „lokal ausnutzbar“ nicht mit „wenig gefährlich“ gleichzusetzen ist
Beide Schwachstellen sind lokale Privilege-Escalation-Lücken. Sie sind damit nicht mit einer Sicherheitslücke gleichzusetzen, über die ein beliebiger Angreifer direkt aus dem Internet ohne vorherigen Zugang Schadcode auf einem Windows-PC starten kann.
Der praktische Einsatz solcher Lücken erfolgt häufig in einer Angriffskette: Ein Angreifer benötigt zunächst einen Weg, um Code mit eingeschränkten Rechten auszuführen. Anschließend kann eine Schwachstelle zur Rechteausweitung benutzt werden, um höhere Systemrechte zu erhalten.
Bei beiden September-Zero-Days bewertet Microsoft den Angriffsvektor als lokal, die Angriffskomplexität als niedrig und die erforderlichen Ausgangsrechte als niedrig. Benutzerinteraktion ist laut CVSS-Vektor nicht erforderlich.
Damit unterscheiden sich diese Fehler beispielsweise von einer klassischen Remote-Code-Execution-Lücke ohne Authentifizierung. Für bereits kompromittierte Systeme können Privilege-Escalation-Schwachstellen jedoch genau der Schritt sein, mit dem ein Angreifer von einem eingeschränkten Benutzerkontext zu deutlich höheren Rechten gelangt.
Was Windows-Nutzer jetzt konkret prüfen sollten
Bei privaten Windows-11-Systemen reicht in den meisten Fällen zunächst die Kontrolle über Einstellungen → Windows Update → Nach Updates suchen. Microsoft gibt für KB5124008 an, dass das Update über Windows Update und Microsoft Update automatisch heruntergeladen und installiert wird.
Nach der Installation sollte geprüft werden:
- Mit
winveroder unter Einstellungen → System → Info die installierte Windows-Version und den OS-Build kontrollieren. - Windows 11 23H2 sollte mindestens Build 22631.7582 erreichen; Windows 11 24H2 mindestens 26100.9445 und Windows 11 25H2 mindestens 26200.9445.
- Falls ein verwaltetes Gerät das September-Update noch nicht erhalten hat, sollten die Update-Richtlinien beziehungsweise die Freigabe durch die IT-Abteilung geprüft werden.
Was Administratoren in Unternehmen priorisieren sollten
In größeren Windows-Umgebungen reicht eine pauschale Aussage wie „September-Patch ausgerollt“ nicht aus. Die beiden Zero-Days betreffen unterschiedliche Windows-Generationen. Das Asset-Inventar muss deshalb mit den tatsächlich betroffenen Versionen abgeglichen werden.
Sinnvoll ist eine kurze technische Kontrolle:
- Windows-10- und ältere Windows-Server-Systeme gezielt auf den Patch gegen CVE-2026-85880 prüfen;
- Windows-11-Systeme und Windows Server 2025 auf den Patch gegen CVE-2026-81963 prüfen;
- nach dem Deployment den Buildstand und nicht nur den erfolgreichen Download des Updates verifizieren.
Microsoft weist zudem darauf hin, dass das September-Update für Windows 11 24H2 und 25H2 ein Servicing Stack Update enthält. KB5124007 hebt den Servicing Stack auf Build 26100.9441 und soll die Zuverlässigkeit des Windows-Update-Installationsprozesses verbessern.
Für Hotpatch-fähige Umgebungen gibt es im September eine zusätzliche Besonderheit. Microsoft veröffentlicht das September-2026-Sicherheitsupdate als reguläres Update statt als Hotpatch, weil Änderungen an Komponenten enthalten sind, die nicht ohne Neustart aktualisiert werden können. Geräte im Hotpatch-Programm benötigen daher für diesen Zyklus einen Neustart.
„Einige der Sicherheitsverbesserungen in diesem Update ändern Komponenten, die nicht ohne Neustart aktualisiert werden können.“
(Microsoft, Hinweise zur September-2026-Baseline für Hotpatch-Systeme)
Zusätzlich relevant: Windows 11 24H2 nähert sich dem Supportende
Das September-Update fällt außerdem in eine Übergangsphase für Windows 11 24H2. Microsoft weist darauf hin, dass die Home- und Pro-Editionen von Windows 11 24H2 am 13. Oktober 2026 das Ende der regulären Updates erreichen. Enterprise und Education bleiben laut Microsoft bis 12. Oktober 2027 unterstützt.
Microsoft formuliert die Empfehlung eindeutig:
„Um geschützt und auf dem neuesten Stand zu bleiben, empfehlen wir Ihnen, ein Upgrade auf die neueste Version von Windows 11 durchzuführen.“
(Microsoft Support, KB5124008, 8. September 2026)
Für Rechner mit Windows 11 24H2 Home oder Pro bedeutet das: Das September-Paket sollte installiert werden, ersetzt aber nicht die bevorstehende Migration auf eine weiterhin unterstützte Windows-Version.
Wo die offiziellen Sicherheitsinformationen stehen
Die technischen CVE-Daten und die Liste der betroffenen Microsoft-Produkte veröffentlicht Microsoft zentral im Security Update Guide.
Der entscheidende Punkt des September-Patch-Tuesday ist damit klar definiert: Microsoft hat für beide bereits im realen Einsatz beobachteten Schwachstellen Sicherheitsupdates veröffentlicht. Welche Aktualisierung benötigt wird, hängt von der Windows-Generation ab. Bei Windows 11 stehen vor allem CVE-2026-81963 und die September-Builds im Fokus; bei Windows 10 und mehreren älteren Server-Versionen ist CVE-2026-85880 relevant. Das Installieren und anschließende Prüfen des tatsächlichen Buildstands ist deshalb die zentrale Maßnahme dieses Patch-Zyklus.
Sie können dies und weitere nützliche Informationen auf unserer Website nachlesen. Wir empfehlen Ihnen außerdem die Lektüre folgender Artikel: Android-Sicherheitsupdate September 2026: Kritische Lücke ohne Nutzeraktion ausnutzbar
