Microsoft Patch Tuesday: 974 CVEs und die Kosten von AGI

Der größte Patch Tuesday der Geschichte

Microsoft hat am Dienstag, den 9. September, 974 Sicherheitsupdates veröffentlicht, die höchste Anzahl, die jemals in einem einzigen monatlichen Zyklus bekannt gegeben wurde. Dieses Volumen entspricht dem 5,6-fachen des historischen Durchschnitts von etwa 175 CVEs pro Monat vor 2026 und übertrifft den bisherigen Rekord von 570 Schwachstellen, der im Juli dieses Jahres aufgestellt wurde. Windows hat 723 Warnungen, gefolgt von Office (111), SQL Server (62), Entwicklungstools (22), SharePoint (16), Azure (12), Skype for Business (10) und Exchange Server (9).

Zwei der Warnungen wurden bereits vor dem Patch ausgenutzt. CVE-2026-85880 ist ein Heap-Buffer-Overflow im Advanced Local Procedure Call (ALPC) von Windows, CVSS 7,8, das es einem lokalen Angreifer ermöglicht, aus dem AppContainer-Sandbox zu entkommen und zu SYSTEM zu eskalieren. Laut Tenable ist dies das erste ALPC im Patch Tuesday seit über drei Jahren, seit April 2023, und die zweite Schwachstelle, die seit Januar desselben Jahres als Zero-Day ausgenutzt wurde. CVE-2026-81963 ist eine Link-Resolution-Schwachstelle im Windows Update Stack, ebenfalls CVSS 7,8, mit der gleichen Eskalation zu SYSTEM von einem lokalen Fußfassen. Betroffen sind Windows 11 Versionen 23H2, 24H2, 25H2 und 26H1 sowie Windows Server 2025 und Server Core. Die CISA hat CVE-2026-81963 am 8. September in den Katalog der Bekannten Ausgenutzten Schwachstellen aufgenommen, mit einer Frist zur Behebung für Bundesbehörden bis zum 22. September. Es ist die erste Schwachstelle zur Erhöhung von Berechtigungen im Windows Update Stack, die seit 2022 als Zero-Day ausgenutzt wurde.

Der Sprung hat einen Namen: AGI

Im Juli informierte Microsoft seine Kunden, dass die Warteschlange der Patches aufgrund des internen Einsatzes von AGI-Tool zur Entdeckung von Zero-Days wachsen würde. Der September-Zyklus ist die erste vollständige Ablesung dieses aktiven Pipelines. Die Zero Day Initiative hebt zudem 20 Bugs hervor, die in diesem Paket als wormable eingestuft werden, eine Kategorie, die ohne Benutzerinteraktion verbreitet wird und besonders gefährlich in heterogenen Unternehmensnetzwerken ist.

Die praktische Auswirkung trifft das Sicherheitsteam des Unternehmens. Ein dreifach erhöhtes Volumen an Screening-Arbeiten in einem Zyklus, in dem das Zeitfenster für Ausnutzungen gleich bleibt. Ein CISO eines durchschnittlichen europäischen Unternehmens, das mit dutzenden Windows Server-Images arbeitet, Office 365-Tools in fünf Geografien verteilt und ein Legacy-SharePoint betreibt, muss 974 Warnungen innerhalb von Tagen, nicht Wochen, priorisieren. Automatisierte Patch-Tools bewältigen das Volumen, aber Ausnahmen, Kompatibilitätstests und Wartungsfenster bleiben manuell.

Der internationale Rückschlag

Der September-Zyklus betrifft die IT-Infrastruktur auf drei verschiedenen Ebenen. In den USA gilt die Frist der CISA für den 22. September nur für die Bundesregierung, setzt aber den zeitlichen Rahmen, den Managed Service Provider zur Priorisierung regulierter Finanzkunden verwenden. In Europa erhöht die NIS2-Richtlinie den Druck auf Betreiber kritischer Infrastrukturen, die Windows verwenden, wobei die Mitgliedstaaten bereits Pläne für Reaktionen in vergleichbaren Zeitfenstern verlangen. In Indien, wo sich die Global Capability Centers befinden, die für das Patch-Management der Hälfte der Fortune 500-Unternehmen zuständig sind, wird das Volumen die Grenzen der vertraglich vereinbarten Stunden und Schichten testen.

Brasilianische Unternehmen, die SAP auf Windows Server betreiben, mit SQL Server-Datenbanken und SharePoint als operatives Backend, sind im gleichen Zyklus betroffen. Der Unterschied besteht darin, dass das durchschnittliche Sicherheitsteam im Land mit weniger Personal pro Endpoint als die Kollegen in Frankfurt oder Boston arbeitet, was die Zeitspanne zwischen der Veröffentlichung und der tatsächlichen Anwendung des Patches verlängert, die heute bereits rund 45 Tage beträgt, laut Branchenumfragen.

Das Signal für Käufer von Software

Der Einsatz von AGI durch Microsoft zur Bug-Jagd ist ein seltener Fall, in dem die Rhetorik mit den Zahlen übereinstimmt. Nicht jede Plattform wird den Multiplikator bekannt geben, den sie aus diesem Ansatz zieht, aber wer einen SDLC mit AGI aufbaut, muss die Berechnungen durchführen: Wenn der Entdecker fünfmal mehr Schwachstellen finden kann, muss der Remediierer auf der anderen Seite eine entsprechende Produktivität erzielen, oder die Distanz zwischen entdeckt und behoben wächst nur. Für den Käufer von Unternehmenssoftware ist die Kennzahl, auf die in den nächsten beiden Quartalen zu achten ist, die durchschnittliche Zeit zwischen der Veröffentlichung des CVE und der Ankunft des Patches in den von MSPs verwalteten Umgebungen. Niemand im Vorstand wird nach 974 Patches fragen. Sie werden fragen, wie viele dieser Warnungen noch offen waren, als das nächste Ereignis eintrat.