Der Patchday im September 2026 war der größte in der Geschichte von Microsoft: Das monatliche Sicherheitsupdate behob nach Auswertungen der Microsoft-eigenen Advisory-Daten 966 Schwachstellen, darunter zwei Zero-Days, die bereits aktiv ausgenutzt wurden. Eine andere Aufstellung zählt 974 Microsoft-CVEs, was selbst gegenüber dem ungewöhnlich umfangreichen Juli einen Rekord bedeuten würde.

Die Größe war diesmal allerdings kein Grund zur Beruhigung. Wenige Tage nach der Auslieferung brach das September-Update Funktionen, die seit Jahren zuverlässig liefen. Microsoft warnte, dass die Dateiversions-/Dateiverlauf-Funktion (File History) — die Desktop und Dokumente auf ein externes Laufwerk sichert — nach dem Update ausfallen kann; Nutzer berichteten von der Aufforderung, das Laufwerk neu zu verbinden. Außerdem bestätigte Microsoft, dass die September-Sicherheitsupdates Always-On-VPN-Verbindungen auf manchen Windows-11-Systemen brechen können, und in Support-Foren dokumentierten Anwender Ausfälle bei Remote Desktop, USB-Audio und Hyper-V.

Am 14. September lieferte Microsoft ein kumulatives Out-of-Band-Update für Windows 11 in den Versionen 26H1, 25H2 und 24H2 nach, um die Probleme zu adressieren — das bestätigt das Windows Message Center des Unternehmens. Damit war die Sache nicht erledigt: Windows Latest berichtete Tage später, dass das Notfall-Update auf manchen PCs selbst weiter den Ton zerstörte und dass ein vollständiger Fix erst mit dem Oktober-Patchday zu erwarten sei.

Der Vorgang ist ein nützliches Gegengewicht zu der Annahme, KI-gestützte Entwicklung mache Software sicherer, weil sie schneller entsteht. Ein Sicherheitsrelease mit Rekordumfang ist nur so gut wie seine Regressionstests — und die Windows-Update-Pipeline, die Milliarden Rechner mit einem monatlichen Änderungssatz bedient, bleibt eine der schwierigsten Regressionsflächen kommerzieller Software.

Für Administratoren bleibt die praktische Empfehlung unverändert und unspektakulär: funktionsverändernde Updates vor dem flächendeckenden Rollout testen, nach dem Patchen prüfen, ob Back-up-Werkzeuge tatsächlich laufen und nicht nur installiert sind, und einen Out-of-Band-Weg bereithalten. Zwei Funktionen, die in den meisten Organisationen still die Hauptarbeit leisten — Dateisicherung und Fernzugriff —, hat der diesmonatige Release zuerst beschädigt.

Quellen