Microsofts Windows-Update-Zyklus im September 2026 markiert einen Doppelrekord – und nicht den guten. Je nach Zählmethode wurden zwischen 964 und 974 Schwachstellen geschlossen: Tenable zählt 964, Automox 973 und Infosecurity Magazine 974 CVEs – die Abweichungen erklären sich durch unterschiedliche Einschlusskriterien bei Drittanbieter-CVEs. Der bisherige Höchstwert vom Juli desselben Jahres, 570 bis 576 CVEs je nach Quelle, wurde damit fast verdoppelt. The Verge nennt den Patchday explizit den größten in der Unternehmensgeschichte.[j][i][h][g]
Doch mit dem Sicherheitsrekord kam ein Regressionsrekord. Das reguläre Update KB5124008 für Windows 11 24H2 und 25H2 brachte drei offiziell von Microsoft bestätigte Bugs: Der Remote Desktop Service fiel aus, USB-Audiogeräte verloren ihre Verbindung, und Linux-VMs unter Hyper-V stürzten ab. Für das RDP-Problem stellte Microsoft immerhin einen temporären Group-Policy-Workaround bereit – für die beiden anderen Fehler zunächst gar keinen.[a]
Das Notfall-Update löst zwei von drei Problemen
Am 15. September 2026 reagierte Microsoft mit dem Out-of-Band-Update KB5129195 für die Builds 26100.9457 und 26200.9457. Es behebt die RDP-Ausfälle und den Hyper-V-Bug – der USB-Audio-Fehler bleibt jedoch nach übereinstimmenden Berichten von ComputerBase und Golem weiterhin offen. Dass manche Medien eine teilweise Behebung melden, lässt sich am ehesten damit erklären, dass es sich um mehrere separate USB-Audio-Unterprobleme handeln könnte, von denen nur eines gefixt wurde – eine offizielle Bestätigung Microsofts steht dazu jedoch aus.[b][d][f]
Für IT-Admins bedeutet das OOB-Update zusätzlichen Aufwand: Wer den temporären Group-Policy-Workaround für RDP bereits aktiv geschaltet hatte, muss nach der Installation von KB5129195 einen manuellen Drei-Schritte-Prozess durchlaufen – Policy reaktivieren, Neustart, Policy wieder deaktivieren. ComputerBase beschreibt diesen Prozess als notwendig, damit der Workaround sauber entfernt wird und nicht neben dem eigentlichen Fix aktiv bleibt.[b]
Ungelöst bleiben zudem weitere Problemfelder, die Golem dokumentiert hat und die bislang nicht offiziell von Microsoft bestätigt sind: Abstürze bei AMD-Radeon-Grafikkarten sowie Fehler im Windows Explorer und in der Dateiversionshistorie. Für Nutzer mit AMD-Hardware bedeutet das: Sie warten weiter auf einen Fix, während die bisherigen Patches für diese Grafikprobleme keine Abhilfe bieten – ein Beispiel dafür, dass die Fehlerbehebung nicht alle Nutzergruppen gleich schnell erreicht.[e]
Kein Einzelfall: Ein Muster seit mindestens einem Jahr
Wer die Ereignisse rund um KB5124008 als Ausrutscher abtun will, muss sich mit einer unbequemen Beobachtung von The Register auseinandersetzen: Bereits im Februar 2026 dokumentierte das Fachmedium, dass die Häufigkeit außerplanmäßiger Updates so stark gestiegen sei, dass inzwischen für praktisch jeden Patch-Tuesday-Zyklus mindestens ein Notfall-Patch zu erwarten sei. Microsoft definiert Out-of-Band-Updates offiziell weiterhin als Ausnahmefall – ein Etikett, das laut The Register durch die schiere Wiederholungsrate seine Bedeutung verliert.[k]
Die Liste der jüngeren OOB-Eingriffe, die Action1 zusammengetragen hat, liest sich wie eine Chronik wiederkehrender Regressionen: Im August 2025 war ein kaputtes Reset- und Recovery-Tool zu reparieren, im Januar 2026 folgten Notfall-Patches gegen Shutdown- und Hibernate-Fehler. Im Juli 2026 ging es um Performance-Einbrüche bei Intel-Treibern und beschleunigten Akkuverschleiß.[l]
Der September-Fall reiht sich damit nahtlos ein. Bemerkenswert ist allerdings die Dimension: Noch nie war ein auslösender Patchday so umfangreich, und gleichzeitig waren mit Netzwerkdiensten, Audio-Hardware und Virtualisierung drei sehr unterschiedliche Systemebenen betroffen.
Die Entwicklung des Patchvolumens über die drei bislang größten Patch-Tuesdays der Microsoft-Geschichte zeigt, wie stark September 2026 aus dem Rahmen fällt – fast eine Verdopplung gegenüber dem bisherigen Rekordmonat Juli.
KI-gestützte Schwachstellensuche als möglicher Treiber
Eine mögliche Erklärung für den sprunghaften Anstieg des Patchvolumens liefert The Verge: Seit Juli 2026 setzt Microsoft agentic-AI-Modelle ein, um Schwachstellen in der eigenen Codebasis systematisch aufzuspüren. Das würde erklären, warum sich das CVE-Volumen innerhalb weniger Monate vervielfacht hat – Automox dokumentiert für Juli 2026 rund 576 CVEs und für September 973 CVEs. Eine offizielle Microsoft-Bestätigung für diesen Kausalzusammenhang liegt bislang allerdings nicht vor, und die Datenlage bleibt insofern eine journalistische Einordnung, keine belegte Ursachenkette.[g][i]
Plausibel ist der Zusammenhang trotzdem: Wenn ein automatisiertes System binnen kurzer Zeit deutlich mehr Schwachstellen findet, als menschliche Testteams in vergleichbarer Zeit bislang aufgedeckt haben, wächst zwangsläufig auch der Druck auf die nachgelagerte Qualitätssicherung. Mehr Patches in kürzerer Zeit bedeuten mehr Codeänderungen, die auf Wechselwirkungen mit RDP-Diensten, Audio-Treibern oder Virtualisierungskomponenten geprüft werden müssten – und offenbar reicht das bestehende Testregime dafür nicht immer aus. Tenable beziffert allein für September, dass 44,7 Prozent der geschlossenen Lücken Privilege-Escalation-Bugs waren und 26,8 Prozent Remote Code Execution ermöglichten – also tief in sicherheitsrelevante Systemkomponenten eingreifende Fixes, die naturgemäß ein höheres Regressionsrisiko tragen als kosmetische Änderungen.[j]
Der Trade-off ist real – aber die Lastenverteilung ist es auch
Es wäre zu einfach, Microsoft reine Fahrlässigkeit vorzuwerfen. Der Trade-off zwischen Sicherheitsgeschwindigkeit und Stabilitätsqualität ist eine legitime unternehmerische Abwägung: Wer fast 1.000 Schwachstellen schneller schließt als je zuvor, reduziert das Zeitfenster, in dem Angreifer diese Lücken ausnutzen können. Das ist ein echter Sicherheitsgewinn, den man nicht kleinreden sollte, gerade angesichts der hohen Anteile an Privilege-Escalation- und RCE-Bugs im September-Batch.
Gleichzeitig tragen auch Organisationen selbst einen Teil der Verantwortung für das Ausmaß der Auswirkungen. Best Practices im Patch-Management sehen vor, neue kumulative Updates zunächst an einer kleinen Pilotgruppe von Geräten zu testen, bevor sie unternehmensweit ausgerollt werden – genau dieser Zwischenschritt wird in vielen Organisationen nicht konsequent umgesetzt.
Offen bleibt vorerst, wann Microsoft den USB-Audio-Fehler sowie die AMD-Radeon-Abstürze endgültig behebt – ein konkretes Datum hat das Unternehmen bislang nicht kommuniziert. Welche USB-Audiogeräte im Detail betroffen sind, lässt sich den bislang verfügbaren Quellen nicht entnehmen. Auch eine belastbare, von Microsoft selbst veröffentlichte Statistik zur OOB-Häufigkeit existiert nicht – die Faktenlage stützt sich auf die Beobachtungen von Fachmedien wie The Register und Action1, nicht auf offizielle Kennzahlen des Herstellers.[b][e]
Für Windows-11-Nutzer und IT-Verantwortliche bedeutet das im Kern: Das OOB-Update KB5129195 sollte zeitnah installiert werden, um die RDP- und Hyper-V-Probleme zu beheben – Admins mit aktivem Group-Policy-Workaround müssen dabei den zusätzlichen Drei-Schritte-Prozess beachten. Wer auf USB-Audiogeräte angewiesen ist oder AMD-Radeon-Grafikkarten betreibt, sollte hingegen bis auf Weiteres mit ungelösten Problemen rechnen und alternative Hardware oder Workarounds einplanen, bis Microsoft einen weiteren Patch nachliefert.[b][e]
