Windows Patch Tuesday September 2026: 974 Lücken, RDP-RCE – jetzt updaten

Kurz: Am 8. September 2026 hat Microsoft den bisher größten Patch Tuesday ausgeliefert – rund 974 Sicherheitslücken, darunter zwei bereits aktiv ausgenutzte Zero-Days und mehrere kritische Fehler in Remote Desktop (RDP). Wer einen Windows-V-Server oder Root-Server hat, sollte heute updaten und danach neu starten. Nicht „irgendwann diese Woche“.

Die Zahl ist so hoch, weil Microsoft (und Forscher) Lücken inzwischen massiv mit KI finden. Ausgenutzt werden trotzdem nur wenige – aber genau die wenigen sitzen an Stellen, die auf einem gemieteten Windows-Server oft offen sind: RDP, Update-Stack, lokale Rechte.

Was davon euch wirklich betrifft

Nicht jede CVE braucht ihr auswendig. Drei Punkte reichen für Hosting-Kunden:

• RDP, CVE-2026-69525 (CVSS 9.8): Use-after-free in Remote Desktop Services. Ein Angreifer im Netz kann Code ausführen, ohne sich anzumelden. Microsoft schreibt „in-network“ – praktisch heißt das: Wer Port 3389 ins Internet hängt, spielt mit. Genau so stehen viele Windows-Root-Server.
• Zero-Day CVE-2026-85880: Lücke in Windows ALPC. Lokal, aber aktiv ausgenutzt. Wer schon einen Fuß in der Tür hat (schwaches RDP-Passwort, altes Panel, geleakter Key), holt sich darüber SYSTEM.
• Zero-Day CVE-2026-81963: Fehler im Windows-Update-Stack, ebenfalls aktiv ausgenutzt, ebenfalls Rechteausweitung. CISA hat beide in den Known-Exploited-Katalog genommen; US-Behörden müssen bis 22. September patchen. Ihr müsst nicht auf den 22. warten.

Dazu kommen rund 20 „wormable“ Lücken – remote, ohne Klick, in Diensten wie DNS, DHCP, NFS, SMB. Auf einem einzelnen Root-Server ohne Active Directory ist das weniger dramatisch als in einer Firma. Trotzdem: Update einspielen, nicht sortieren.

Wer Exchange selbst hostet, hat extra Stress (u. a. CVE-2026-55007, RCE über präparierte Visio-Mails). Die meisten NexoraHost-Kunden tun das nicht. RDP tun fast alle Windows-Kunden.

Was ihr jetzt tun solltet

1. Windows Update, dann Reboot. Einstellungen → Windows Update → nach Updates suchen. Auf Server Core: sconfig, Option 6. Ohne Neustart ist der Patch oft nur heruntergeladen, nicht aktiv.
2. RDP nicht nackt auf 3389. Firewall im Kundenbereich: nur eure IPs. Network Level Authentication an. Kein „Administrator“ als Login-Name, langes Passwort oder besser: nur nach VPN / Allowlist. Das Update schließt die Lücke – die offene Tür solltet ihr trotzdem zumachen.
3. Fenster wählen. Dienste kurz warnen, dann rebooten. Ein ungepatchter RDP-Port über Nacht ist teurer als fünf Minuten Downtime.
4. Danach prüfen. RDP geht noch? Dienste wieder da? Windows Update zeigt „alles aktuell“? Wenn der Server nach dem Reboot in einer Update-Schleife hängt: Ticket, nicht drei Stunden selber rumklicken.

Linux-Kunden

Dieser Patch Tuesday ist Windows. Ubuntu und Debian haben Anfang September eigene Kernel-Updates bekommen – das ist ein anderes Paket, aber dieselbe Logik: einspielen, rebooten, nicht aufschieben. Wer nur SSH mit Key und ohne Root-Login fährt, steht trotzdem besser da als ein Windows-Server mit offenem RDP.

Was wir bei NexoraHost dazu sagen

Windows-V-Server und Root-Server (Ryzen inklusive) kommen mit RDP. Das ist bequem – und genau deshalb ist dieser Dienst der erste, den Scanner anfassen. Arbor schützt euch vor DDoS, nicht vor einem ungepatchten RDP. Updates spielt ihr selbst ein; wir patchen euer Gastsystem nicht still mit, weil das eure Dienste killen würde.

Wenn der Reboot hakelt oder RDP nach dem Patch tot ist: Ticket. Wenn ihr Windows neu aufsetzen wollt, geht das im Panel.

Windows Root-Server → V-Server · Ryzen Root-Server · KVM-Sicherheitswarnung