Mitte September 2026 hat sich einiges an Sicherheitsmeldungen aufgestaut. Microsoft musste außerplanmäßige Updates nachschieben, weil der reguläre September-Patchday eine ganze Reihe von Problemen und obendrein eine nicht überall geschlossene Lücke hinterlassen hatte. Parallel meldet Cisco, dass eine Schwachstelle in seinem Secure E-Mail-Gateway bereits aktiv angegriffen wird. Und das BSI hat innerhalb weniger Tage Dutzende neue Advisories zu Software veröffentlicht, die auf unzähligen Servern und Arbeitsplätzen läuft.

Die einzelnen Meldungen wirken für sich genommen technisch und sperrig. In der Summe zeigen sie aber ein Muster, das für jeden relevant ist, der Systeme aktuell halten muss: Patches erscheinen, verursachen selbst Fehler, werden nachgebessert – und in dieser Übergangszeit bleiben Lücken offen, die Angreifer ausnutzen können. Dieser Überblick sortiert, was gerade wichtig ist, worauf du achten solltest und welche Schritte sich lohnen.

Microsoft schiebt Notfallupdates für Windows nach

Der September-Patchday hatte für Windows-Systeme mehr Ärger als Ruhe gebracht. Laut Microsoft lösten die verteilten Updates gleich mehrere Fehler aus – darunter RDP-Verbindungsprobleme, nicht funktionierende Ordnerfreigaben in Hyper-V und Störungen bei USB-Audiogeräten. Einen Großteil dieser Probleme hat der Konzern nun mit sogenannten Out-of-Band-Updates adressiert, also mit außerhalb des normalen Update-Zyklus veröffentlichten Korrekturen. Betroffenen empfiehlt Microsoft, diese Notfallupdates einzuspielen.

Für Windows 11 in den Versionen 24H2 und 25H2 trägt das Update die Kennung KB5129195. Es behebt laut Beschreibung die RDP-Verbindungsprobleme, über die zahlreiche Anwender in den Tagen zuvor geklagt hatten. Ein Fehler im September-Update konnte hier zu Instabilitäten bei den Remote Desktop Services führen – für alle, die per Fernzugriff auf Server oder andere Rechner zugreifen, ein handfestes Ausfallrisiko.

Dasselbe Update kümmert sich auch um die Ordnerfreigaben für Linux-VMs in Hyper-V, die mit Plan9 erstellt wurden. Zuvor konnten freigegebene Ordner in der Gastumgebung schlicht nicht angezeigt werden. Das betraf auch Anwendungen, die auf solche Freigaben angewiesen sind, etwa das Windows-Subsystem für Linux (WSL). Neben KB5129195 hat Microsoft entsprechende Korrekturen auch für weitere Systeme bereitgestellt: Windows 11 26H1 (KB5129194), Windows 10 (KB5129236) sowie die Server-Ausgaben 2016, 2019, 2022 und 2025.

Nicht alles ist repariert

Bei den USB-Audiogeräten bleibt die Korrektur allerdings unvollständig. Zwar lassen sich Mehrkanal-Audiosysteme dank KB5129195 nicht mehr nur im Stereomodus betreiben. Zu Fehlermeldungen, wirkungslosen Soundeinstellungen und komplett ausfallenden USB-Audiogeräten kann es laut Microsoft aber weiterhin kommen. Eine vollständige Lösung soll erst ein späteres Update bringen.

Zu weiteren Fehlern, die Anwender nach dem September-Patchday beobachtet haben, hat sich Microsoft bislang nicht geäußert. Dazu zählen Probleme mit AMD-GPU-Treibern, Störungen beim Dateiversionsverlauf und Startprobleme des Windows-Explorers. Wann es dafür wirksame Korrekturen gibt, ist offen. Vorerst hilft in diesen Fällen offenbar nur, die regulären September-Updates zu deinstallieren – eine unschöne Wahl, weil man damit auch die Sicherheitskorrekturen zurücknimmt.

Eine für Windows 11 vergessene Sicherheitslücke

Besonders relevant an den Notfallupdates ist ein Nebenaspekt: Microsoft hat unter Windows 11 eine gefährliche Sicherheitslücke geschlossen, die zuvor durchgerutscht war. Sie ist als CVE-2026-62721 registriert und erlaubt es Angreifern, über den User-Mode Power Service (UMPS) von Windows Systemrechte zu erlangen. Anders formuliert: Wer diese Lücke ausnutzt, kann sich von einem eingeschränkten Konto zu vollen Rechten hocharbeiten.

Der Haken lag in der Umsetzung. Unter Windows 10 und Windows Server wurde CVE-2026-62721 bereits zum September-Patchday geschlossen. Für Windows 11 hatte Microsoft es nach eigenen Angaben schlicht versäumt, dieselbe Korrektur bereitzustellen. Diese Panne hat der Konzern erst mit den zum 14. September veröffentlichten Out-of-Band-Updates behoben.

Hinweise auf eine aktive Ausnutzung gibt es laut Microsoft bislang nicht. Der Konzern hält das Aufkommen entsprechender Angriffe aber für „eher wahrscheinlich“. Genau diese Einschätzung macht die Lücke brisant: Sobald ein Patch für andere Systeme existiert, können Angreifer daraus rekonstruieren, wie sich das Problem missbrauchen lässt – und ungepatchte Windows-11-Rechner werden zum bevorzugten Ziel. Details finden sich in der Berichterstattung von Golem.de.

Cisco: SQL-Lücke im E-Mail-Gateway wird aktiv angegriffen

Während die Windows-Lücke noch als potenzielles Risiko gilt, ist die Lage bei Cisco bereits ernster. Wie heise online berichtet, missbrauchen Angreifer eine SQL-Schwachstelle in Ciscos Secure E-Mail-Gateway. Das ist ein wichtiger Unterschied: Bei einer aktiv ausgenutzten Lücke reicht die Verfügbarkeit eines Patches nicht aus – er muss auch schnell eingespielt werden, weil die Angriffe bereits laufen.

E-Mail-Gateways sind ein lohnendes Ziel, weil sie an einer zentralen Schnittstelle sitzen: Der gesamte Nachrichtenverkehr eines Unternehmens läuft über sie. Wer hier Fuß fasst, kann unter Umständen Nachrichten mitlesen, manipulieren oder das System als Sprungbrett ins interne Netz nutzen. SQL-Schwachstellen – kurz für Angriffe, bei denen manipulierte Datenbankabfragen eingeschleust werden – erlauben je nach Ausprägung das Auslesen oder Verändern von Daten. Für Administratoren, die ein solches Gateway betreiben, gilt deshalb: die Sicherheitshinweise von Cisco prüfen und die bereitgestellten Updates zeitnah anwenden.

Das BSI meldet eine Welle neuer Schwachstellen

Parallel zu den großen Namen hat das CERT-Bund des BSI innerhalb weniger Tage zahlreiche neue Advisories veröffentlicht. Sie betreffen Software, die in Rechenzentren, auf Servern und Arbeitsplätzen weit verbreitet ist. Die Einstufungen reichen von „niedrig“ über „mittel“ bis „hoch“ – und mehrere Meldungen sind mit dem Zusatz „UNGEPATCHT“ versehen, für sie gibt es also noch keine fertige Korrektur.

Höher eingestufte Fälle

Als hoch bewertet das BSI unter anderem eine Schwachstelle in Strapi, dem verbreiteten Headless-CMS. Ein entfernter, authentisierter Angreifer kann sie für einen Cross-Site-Scripting-Angriff nutzen. Ebenfalls hoch eingestuft sind Lücken in libvirt (lokale Privilegieneskalation) und in der Komponente freeipmi unter Red Hat Enterprise Linux, die im ungünstigen Fall bis zur Codeausführung reichen kann.

Besonders kritisch für Server-Umgebungen ist eine Schwachstelle in Puppet Enterprise: Laut BSI kann ein entfernter, authentisierter Angreifer damit beliebigen Programmcode mit Administratorrechten ausführen, was zur vollständigen Kompromittierung des Systems führt. Puppet steuert in vielen Betrieben die automatisierte Konfiguration ganzer Serverflotten – ein erfolgreicher Angriff hätte hier weitreichende Folgen.

Browser, WLAN und Alltagssoftware

Für Endanwender direkter relevant ist eine als mittel eingestufte Lücke in Microsoft Edge. Ein entfernter, anonymer Angreifer kann sie für Spoofing und Cross-Site Scripting nutzen. Die Ausnutzung ist allerdings an mehrere Bedingungen geknüpft: Laut Bürger-CERT des BSI muss der Nutzer mehrere Edge-Instanzen geöffnet haben, dann eine vom Angreifer kontrollierte Website aufrufen und schließlich auf ein dort angezeigtes Pop-up-Fenster klicken. Der Angriff ist also kein Selbstläufer, aber möglich.

Weiter meldet das BSI eine Schwachstelle in wpa_supplicant, der Software, die auf vielen Linux-Systemen die WLAN-Anmeldung übernimmt. Ein lokaler Angreifer kann damit Sicherheitsvorkehrungen umgehen. Hinzu kommen zahlreiche Lücken in Bibliotheken und Werkzeugen, die im Hintergrund arbeiten: libarchive, libTIFF, libgit2, memcached, Net-SNMP, HAProxy, QT, CPython und 7-Zip. Bei vielen dieser Fälle geht es um Denial-of-Service, also das Lahmlegen eines Dienstes, oder um Speicherbeschädigung; einige ermöglichen das Umgehen von Schutzmechanismen.

Auch der Editor vim und das Drucksystem CUPS stehen auf der Liste – bei beiden geht es um Codeausführung, wobei CUPS als noch ungepatcht markiert ist und die Ausnutzung einen lokalen Zugang voraussetzt. Für WordPress-Betreiber relevant: Das Plugin Royal Elementor Addons weist eine Lücke auf, über die ein anonymer Angreifer Informationen offenlegen kann.

Warum diese Häufung kein Zufall ist

Dass sich Meldungen in dieser Dichte stapeln, hat System. Große Hersteller wie Microsoft veröffentlichen ihre Sicherheitsupdates gebündelt an festen Terminen – dem sogenannten Patchday. Das schafft Übersicht, konzentriert aber auch die Arbeit für alle, die Systeme betreuen. Und wenn ein solcher Sammelpatch selbst Fehler enthält, wie in diesem Fall, entsteht ein zweiter Schub aus Nachbesserungen.

Parallel arbeiten Sicherheitsforscher, CERTs und Open-Source-Projekte kontinuierlich Schwachstellen auf. Deshalb erscheinen die BSI-Advisories nicht in großen Wellen, sondern laufend – oft mehrere pro Tag. Der Fall CVE-2026-62721 zeigt zudem ein wiederkehrendes Risiko: Wird eine Lücke für ein System behoben, für ein anderes aber vergessen, liefert der veröffentlichte Patch quasi die Bauanleitung für einen Angriff auf das noch offene System. Genau darum ist Vollständigkeit beim Patchen so wichtig.

Was bedeutet das für dich?

Die gute Nachricht: Für die meisten der genannten Probleme gibt es bereits Korrekturen. Es kommt jetzt darauf an, sie auch einzuspielen – und bei den unvollständig behobenen Fällen aufmerksam zu bleiben.

  • Windows aktualisieren: Prüfe unter Einstellungen und Windows Update, ob die Out-of-Band-Updates angekommen sind. Für Windows 11 24H2 und 25H2 ist das KB5129195, für Windows 10 KB5129236. Sie schließen unter anderem die zunächst vergessene Lücke CVE-2026-62721.
  • RDP-Nutzer, aufgepasst: Wenn du oder dein Betrieb per Remote Desktop arbeitet und zuletzt Verbindungsabbrüche hattest, behebt das Notfallupdate genau dieses Problem.
  • USB-Audio realistisch einschätzen: Bei USB-Audiogeräten ist die Korrektur noch nicht vollständig. Treten weiter Störungen auf, ist das bekannt – ein weiteres Update soll folgen.
  • Edge aktuell halten: Halte den Browser auf dem neuesten Stand und sei vorsichtig bei unerwarteten Pop-ups auf fremden Websites, besonders wenn mehrere Browserfenster offen sind.
  • Server- und CMS-Betreiber: Wer Cisco Secure E-Mail-Gateway, Puppet Enterprise, Strapi oder WordPress mit Royal Elementor Addons betreibt, sollte die jeweiligen Sicherheitshinweise prüfen und priorisiert patchen – die Cisco-Lücke wird bereits aktiv angegriffen.
  • Linux-Systeme pflegen: Spiele Distributions-Updates ein, damit Korrekturen für Bibliotheken wie libarchive, libTIFF, libgit2 oder HAProxy und für Komponenten wie wpa_supplicant und libvirt greifen.

Als Grundregel gilt weiterhin: automatische Updates aktiviert lassen, wichtige Daten regelmäßig sichern und vor größeren Update-Runden im Zweifel eine Sicherung anlegen. Gerade weil Patches gelegentlich selbst Fehler mitbringen, ist ein Rückweg wertvoll.

Kurz beantwortet

Häufige Fragen

Muss ich die Windows-Notfallupdates manuell installieren?

In der Regel nicht. Out-of-Band-Updates werden über Windows Update verteilt und normalerweise automatisch angeboten. Es lohnt sich aber, aktiv nach Updates zu suchen, statt auf den nächsten geplanten Durchlauf zu warten – besonders, wenn du von RDP-Ausfällen oder Hyper-V-Freigabeproblemen betroffen bist. Die passenden Kennungen sind KB5129195 für Windows 11 24H2/25H2 und KB5129236 für Windows 10.

Wie gefährlich ist die Lücke CVE-2026-62721 wirklich?

Sie erlaubt die Ausweitung von Rechten bis auf Systemebene über den User-Mode Power Service. Eine aktive Ausnutzung ist bislang nicht bekannt, Microsoft hält Angriffe aber für „eher wahrscheinlich“. Da die Korrektur für Windows 10 und Server bereits zum September-Patchday erschien, ist der zugrunde liegende Fehler öffentlich nachvollziehbar. Ungepatchte Windows-11-Systeme sind damit besonders exponiert – das Nachziehen des Updates ist deshalb sinnvoll.

Ich nutze kein Cisco-Gateway – betrifft mich die Meldung trotzdem?

Direkt nicht. Die aktiv ausgenutzte SQL-Schwachstelle betrifft Ciscos Secure E-Mail-Gateway, ein Produkt für Unternehmensumgebungen. Für Privatanwender ist sie ohne Belang. Sie ist aber ein gutes Beispiel dafür, warum zentrale Infrastruktur schnell gepatcht werden muss, sobald Angriffe laufen – hier zählt Tempo mehr als die reine Verfügbarkeit eines Fixes.

Sind die vielen BSI-Meldungen ein Grund zur Sorge?

Nein, eine solche Dichte ist normal. Das CERT-Bund veröffentlicht laufend Advisories zu neu entdeckten Schwachstellen, oft mehrere pro Tag. Wichtig ist die Einstufung: Fälle mit „hoch“ oder mit aktiver Ausnutzung verdienen Vorrang. Für Privatanwender sind vor allem Meldungen zu Alltagssoftware wie dem Browser relevant, für Betreiber zusätzlich die zu Servern und Bibliotheken.

Was mache ich, wenn ein Update selbst Probleme verursacht?

Zunächst prüfen, ob der Hersteller die Störung bereits kennt und ein Nachbesserungs-Update angekündigt hat – wie im aktuellen Windows-Fall. Hilft das nicht und ist das Problem gravierend, lässt sich ein Update in der Regel deinstallieren. Bedenke dabei, dass du damit auch enthaltene Sicherheitskorrekturen zurücknimmst. Ein aktuelles Backup vor dem Patchen macht solche Rückwege deutlich entspannter.