Der September-Patchday von Microsoft hat es in sich: Mehr als 950 Schwachstellen wurden behoben – der bislang grösste Patch-Release von Microsoft. Besonders kritisch: Zwei Zero-Day-Schwachstellen werden bereits aktiv ausgenutzt. schliesst im September 2026 mehr als 950 Sicherheitslücken. Zwei davon sind Zero-Days und werden bereits aktiv ausgenutzt.
Und Microsoft ist nicht allein. Auch SAP, Adobe und Cisco haben im September kritische Sicherheitslücken veröffentlicht. Für IT-Teams heisst das: Patchen, priorisieren und betroffene Systeme jetzt prüfen.
Der Patchday von Microsoft fällt ungewöhnlich umfangreich aus. Mehr als 950 Schwachstellen wurden behoben. Davon verdienen zwei Schwachstellen besondere Aufmerksamkeit. Beide ermöglichen eine Elevation of Privilege – also die Ausweitung bestehender Benutzerrechte bis hin zu vollständiger Kontrolle über ein System:
Die schiere Anzahl der Schwachstellen fällt auf. Ein möglicher Grund ist Microsofts verstärkter Einsatz von KI-gestützten Systemen zur Suche nach Sicherheitslücken. Dadurch können Schwachstellen schneller und in grösserem Umfang identifiziert werden. Für Unternehmen bedeutet das nicht, dass jede CVE sofort kritisch ist. Entscheidend ist die Priorisierung nach tatsächlichem Risiko. Bei den beiden oben genannten Windows-Schwachstellen ist die Situation klar: Sie werden bereits ausgenutzt.
Nicht jede der mehr als 950 Microsoft-Schwachstellen ist für jedes Unternehmen gleich relevant. Entscheidend ist die eigene Umgebung. Für IT-Verantwortliche sind deshalb vor allem diese Fragen wichtig:
Sind die betroffenen Windows-Versionen im Unternehmen im Einsatz?
Sind Clients und Server bereits auf dem aktuellen Patchstand?
Gibt es Systeme, auf denen Updates verzögert ausgerollt werden?
Gibt es Hinweise auf ungewöhnliche Aktivitäten oder eine mögliche Kompromittierung?
Sind für besonders kritische Systeme zusätzliche Schutzmassnahmen notwendig?
Gerade bei aktiv ausgenutzten Zero-Days sollte nicht gewartet werden, bis der reguläre Patch-Prozess irgendwann durchgelaufen ist.
Der September ist nicht nur bei Microsoft aussergewöhnlich. Auch andere zentrale Unternehmenssysteme sind betroffen.
SAP veröffentlicht 19 neue Security Notes, darunter zwei kritische Schwachstellen mit CVSS 10.0 und 9.8.
Adobe Commerce und Magento sind von einer kritischen Zero-Day-Schwachstelle betroffen, die laut Adobe bereits aktiv ausgenutzt wird.
Cisco hat eine kritische Schwachstelle in bestimmten Nexus-9000-Switches veröffentlicht. Auch hier ist eine Remote-Code-Ausführung ohne vorherige Authentifizierung möglich.
Damit zeigt sich ein wichtiges Muster: Patch Management betrifft nicht nur den Arbeitsplatz, sondern die gesamte IT-Landschaft.
CVE-2026-44756 (OVERPASS) | CVSS 10.0 – Critical. Memory Corruption in der SAP Extended Passport (EPP) Verarbeitung. Eine fehlende Überprüfung von Grenzen bei der Deserialisierung von EPP-Daten ermöglicht einem nicht authentifizierten Angreifer über das Netzwerk, eine Speicherbeschädigung auszulösen. Mögliche Auswirkungen:
Ausführung beliebigen Codes mit administrativen Rechten
Abgreifen von Zugangsdaten Manipulation von SAP-Daten
Veränderung von SAP-Binaries
Eine aktive Ausnutzung wurde bislang nicht öffentlich bestätigt. Trotzdem ist die Schwachstelle aufgrund des CVSS-Scores von 10.0, des Angriffs ohne Authentifizierung und der möglichen administrativen Auswirkungen die höchste SAP-Priorität dieses Patch-Zyklus.
CVE-2026-58240 (S4GET) | CVSS 9.8 – Critical. Fehlende Authentifizierung im SAP NetWeaver Message Server. Der Message Server überprüft die Authentizität von Anwendungskomponenten bei deren Registrierung nicht ausreichend. Ein nicht authentifizierter Angreifer mit Netzwerkzugriff kann dadurch eine manipulierte Komponente registrieren und unerlaubte Aktionen innerhalb der SAP-Landschaft durchführen. Auch hier gibt es derzeit keine Hinweise auf eine aktive Ausnutzung.
Bei Adobe ist die Lage besonders dringlich. Adobe hat ausserhalb des regulären Update-Zyklus einen Emergency Fix für eine kritische Zero-Day-Schwachstelle in seinen E-Commerce-Plattformen veröffentlicht.
CVE-2026-75650 (StyleSmuggler) | Critical. Arbitrary Code Execution in Adobe Commerce und Magento Open Source. Adobe bestätigt, dass die Schwachstelle bereits aktiv ausgenutzt wird. Beobachtet wurden unter anderem Angriffe, bei denen Backdoors auf betroffenen Servern installiert wurden. In einem Fall wurde eine Backdoor als legitimer NTP-Datenverkehr getarnt. Ein anderer Angreifer setzte eine PHP-Webshell ein. Betroffen sind unter anderem:
Adobe Commerce 2.4.4 bis 2.4.9
Adobe Commerce B2B 1.3.3 bis 1.5.3
Magento Open Source 2.4.6 bis 2.4.9
Auch die Netzwerkinfrastruktur bleibt nicht verschont: CVE-2026-20212 | CVSS 9.8 – Critical. Remote Code Execution in Cisco Nexus 9000 Series Switches.
Betroffen sind bestimmte Nexus-9000-Switches mit Silicon One ASICs. Zwei TCP-Ports – 43210 und 43211 – sind innerhalb der standardmässigen Layer-3-VRF erreichbar. Ein nicht authentifizierter Angreifer kann manipulierte Eingaben senden und dadurch möglicherweise Code mit Root-Rechten ausführen. Ein erfolgreicher Angriff kann ausserdem zum Absturz des betroffenen Prozesses und zu einem Neustart des Switches führen.
Cisco hat bislang keine aktive Ausnutzung und keinen öffentlichen Proof of Concept festgestellt. Aufgrund der Schwere und Reichweite stellt Cisco neben einem permanenten Fix auch eine temporäre Live-Protect-Mitigation bereit.
Nicht jede Schwachstelle muss mit derselben Geschwindigkeit behandelt werden. Die entscheidende Frage ist: Welche Lücken sind für die eigene Umgebung relevant und welche werden bereits ausgenutzt? Für den September empfehlen wir eine klare Reihenfolge:
Aktiv ausgenutzte Schwachstellen zuerst: Die beiden Microsoft-Zero-Days und die Adobe-Commerce-Schwachstelle sollten besonders schnell bewertet und gepatcht werden.
Betroffene Systeme und Versionen identifizieren: Prüfen, ob die genannten Windows-, SAP-, Adobe- oder Cisco-Produkte in der eigenen Umgebung eingesetzt werden.
Patches und Mitigations umsetzen: Wo ein vollständiger Patch noch nicht möglich ist, sollten verfügbare Schutzmassnahmen genutzt werden.
Nach einer möglichen Kompromittierung suchen: Bei bereits aktiv ausgenutzten Schwachstellen reicht ein nachträgliches Patchen nicht immer aus. Betroffene Systeme sollten auf verdächtige Aktivitäten, Backdoors oder andere Anzeichen geprüft werden.
Patch Management als laufenden Prozess verstehen: Unternehmen können nicht jede CVE einzeln manuell bewerten. Es braucht einen Prozess, der Schwachstellen nach Schweregrad, Exploit-Status, betroffenen Systemen und tatsächlichem Business-Risiko priorisiert.
Der Microsoft Patch Tuesday im September 2026 ist ein guter Anlass, den eigenen Patch-Prozess kritisch zu prüfen. Mehr als 950 Microsoft-Schwachstellen sind viel. Für Unternehmen geht es deshalb nicht darum, jeden Patch blind möglichst schnell zu installieren. Es geht darum, Risiken richtig zu priorisieren, betroffene Systeme zu kennen und kritische Schwachstellen schnell zu schliessen.
Das gilt im September nicht nur für Microsoft, sondern für die gesamte IT-Landschaft. Security Updates sind Routine. Die richtige Priorisierung entscheidet darüber, wie sicher diese Routine wirklich ist.