Windows-Notfall-Updates: Was KMU jetzt prüfen sollten

Microsoft hat in der Nacht zum Dienstag außerplanmäßige Updates für zahlreiche Windows-Versionen veröffentlicht – komplett losgelöst vom gewohnten Patchday-Rhythmus. Der Anlass ist doppelt ungewöhnlich: Zum einen hatten die regulären September-Updates an mehreren Stellen spürbare Probleme verursacht, die Microsoft am Wochenende offiziell eingeräumt hat. Zum anderen nutzten die Entwickler die Gelegenheit, zwei Sicherheitslücken zu schließen – darunter eine, die eigentlich schon seit August gepatcht sein sollte. Der Flicken war, so Microsoft im Versionsverlauf des Schwachstelleneintrags, schlicht vergessen worden. Der Hersteller rät ausdrücklich dazu, die Updates so schnell wie möglich zu installieren, wie heise Security berichtet.

Für Unternehmen mit zehn bis hundert Mitarbeitern bedeutet das: Jetzt ist nicht der Moment für „Windows aktualisiert sich schon selbst“. Zwischen automatischem Download, ausstehendem Neustart und tatsächlich geschlossener Lücke können Tage liegen – und genau in diesem Zeitfenster ist ein System angreifbar. Ein gezielter Blick auf den Update-Stand aller Arbeitsplätze und Server lohnt sich daher gerade jetzt.

Zwei Sicherheitslücken – eine davon schlicht vergessen

Das erste Leck steckt in den Windows User-Mode Power Services, kurz UMPS. Es handelt sich um eine Rechteausweitungslücke (CVE-2026-62721, CVSS 7.8, Risiko „hoch“), die Microsoft selbst als „wichtig“ einstuft. Angemeldete Nutzer können sie lokal ausnutzen, um ihre Rechte zu erweitern. Betroffen sind Windows 11 in den Versionen 26H1, 25H2 und 24H2.

Das Bemerkenswerte daran: Der Flicken hätte bereits seit August in Windows aktiv sein sollen. Die Entwickler haben jedoch offenbar vergessen, ihn in das kumulative Update einzubauen. Microsoft spricht selbst von einer „verpassten Korrektur“ und fordert Admins auf, die Updates so rasch wie möglich zu installieren.

Die zweite Lücke betrifft ausschließlich Windows 11 26H1 und sitzt im Windows Secure Kernel Mode (CVE-2026-85921, CVSS 8.2, Risiko „hoch“). Angemeldete Angreifer können damit ihre Rechte auf das „Virtual Trust Level 1“ (VTL1) erhöhen – dem Namen nach eine Vertrauensebene tief im Sicherheitskern des Systems. Microsoft stuft diese Lücke abweichend vom CVSS-Wert sogar als „kritisch“ ein. Wie Angreifer die Schwachstelle konkret provozieren können, schreibt Microsoft nicht.

Was heißt das für die Praxis? Rechteausweitungslücken sind selten der erste Schritt eines Angriffs – sie setzen voraus, dass jemand bereits Zugang zu einem Konto hat, etwa über eine kompromittierte Anmeldung. Aber genau dann entscheiden sie darüber, wie viel Schaden ein Angreifer anrichten kann: Aus einem normalen Benutzerkonto wird mit einer solchen Lücke schnell ein Zugriff mit weitreichenden Rechten. Dass Microsoft eine der beiden Lücken als „kritisch“ bewertet, obwohl der technische Score darunter liegt, spricht dafür, dass die interne Einschätzung ernster ausfällt, als die nackte Zahl vermuten lässt.

Die Folgefehler des September-Patchdays

Neben den Sicherheitsflicken beheben die außerplanmäßigen Updates die bekannt gewordenen Nebenwirkungen der September-Aktualisierungen. Konkret:

• Die Remote-Desktop-Dienste konnten nach der Installation instabil werden.
• USB-Audio-Geräte starteten nicht mehr korrekt; auch Mehrkanal-Ton jenseits von Stereo war problematisch.
• Hyper-V blendete bei Linux-Gästen geteilte Host-Ordner nicht korrekt ein.

Übersetzt in den Büroalltag: Wer auf Remote Desktop angewiesen ist – etwa für den Zugriff auf den Arbeitsplatzrechner aus dem Homeoffice oder für die Verwaltung von Servern –, riskierte Verbindungsabbrüche und Instabilität. Wer mit USB-Headsets oder Freisprecheinrichtungen in Online-Meetings arbeitet, kämpfte möglicherweise mit ausgefallenem Ton. Und wer virtuelle Maschinen mit Linux betreibt, sah freigegebene Ordner nicht mehr.

Wichtig: Beim USB-Audio-Problem ist die Lösung nur teilweise erreicht. Geräte der USB-Audio-Klasse 1 können weiterhin mit Fehlercode 10 ausfallen oder gar keinen Ton ausgeben. An einer Lösung arbeitet Microsoft noch. Wenn in Ihrem Unternehmen also weiterhin ein Headset oder ein Audiogerät streikt, liegt das nicht zwingend an Ihrer Hardware – der Fehler ist bekannt und noch nicht behoben.

Fast 1000 Schwachstellen in einem Monat

Ein Detail am Rande verdient Aufmerksamkeit: Allein im September haben die Entwickler laut der Meldung fast 1000 Schwachstellen ausgebessert. Diese Flut an Patches stellt offenbar auch den Hersteller selbst vor neue Herausforderungen – anders ist ein vergessener Sicherheitsflicken kaum zu erklären.

Für Sie als Geschäftsführer oder IT-Verantwortlichen folgt daraus zweierlei. Erstens: Patchmanagement ist kein Selbstläufer, den man einmal einrichtet und dann vergisst. Selbst wenn Updates automatisch laufen, lohnt eine regelmäßige Kontrolle, ob sie tatsächlich überall angekommen sind. Zweitens: Der Fall zeigt, dass auch nach einem vermeintlich erfolgreichen Patchday noch Lücken offen sein können – in diesem Fall über Wochen hinweg, ohne dass es aufgefallen wäre.

Was Sie jetzt konkret prüfen sollten

Microsoft weist darauf hin, dass nicht verwaltete Windows-Versionen sowie Business-Versionen mit entsprechender Einstellung die Updates bereits automatisch herunterladen und installieren sollten. Je nach Konfiguration sind die Maschinen möglicherweise schon neu gestartet oder fordern zum Reboot auf. „Sollten“ und „je nach Konfiguration“ sind dabei die entscheidenden Wörter. Gehen Sie die folgenden Punkte durch:

1. Versionsstand erfassen: Welche Windows-Versionen laufen in Ihrem Unternehmen? Für Windows 11 25H2 und 24H2 lautet die relevante KB-Nummer KB5129195, die Builds heißen danach 26200.9457 beziehungsweise 26100.9457. Für Windows 11 26H1 steht KB5129194 bereit (Build 28000.2956).

2. Windows 10 nicht vergessen: Für Windows 10 22H2 und 21H2 liefert Microsoft KB5129236 (Builds 19045.7727 beziehungsweise 19044.7727). Achtung: Diese Pakete enthalten keine Sicherheitsflicken, sondern bessern lediglich die beobachteten Probleme nach dem vergangenen Patchday aus. Microsoft stuft sie als optionale Updates ein – das heißt, Betroffene müssen die Installation gegebenenfalls manuell anstoßen. Automatisch passiert hier womöglich nichts.

3. Server einbeziehen: Auch für Windows Server 2025 bis hinab zu Server 2012 stehen Out-of-Band-Patches bereit, die Admins zügig anwenden sollten. Gerade Server werden in kleineren Umgebungen gern „später“ aktualisiert – ausgerechnet dort laufen aber oft die zentralen Dienste des Unternehmens.

4. Neustarts kontrollieren: Ein heruntergeladenes Update, das auf den Reboot wartet, schließt keine Lücke. Prüfen Sie, ob Arbeitsplatzrechner und Server tatsächlich neu gestartet wurden – oder ob die Aufforderung dazu seit Tagen weggeklickt wird.

5. Kritische Funktionen testen: Nach der Installation lohnt ein kurzer Funktionscheck der zuvor betroffenen Bereiche: Remote-Desktop-Verbindungen, USB-Audio-Geräte und – falls genutzt – Hyper-V mit Linux-Gästen und geteilten Ordnern.

Was noch unklar ist

Einige Fragen bleibt Microsoft derzeit schuldig. Offen ist etwa, wie Angreifer die als kritisch eingestufte Lücke im Secure Kernel Mode konkret auslösen können – hier gibt es bislang keine Details. Ebenso unklar ist, wann der noch ausstehende Fix für USB-Audio-Geräte der Klasse 1 erscheint. Und ob Ihre individuelle Umgebung überhaupt betroffen ist, hängt davon ab, welche Windows-Versionen und Builds bei Ihnen im Einsatz sind – das lässt sich nur durch einen Blick auf die eigenen Systeme klären.

Fazit: Prüfen statt vertrauen

Außerplanmäßige Updates sind bei Microsoft die Ausnahme – wenn sie kommen, gibt es dafür einen guten Grund. In diesem Fall sind es gleich mehrere: eine vergessene Sicherheitskorrektur, eine als kritisch bewertete Rechteausweitungslücke und handfeste Folgefehler des letzten Patchdays, die den laufenden Betrieb stören können. Die Empfehlung des Herstellers ist eindeutig: so schnell wie möglich installieren.

Nehmen Sie sich daher in den kommenden Tagen die Zeit für einen Update-Check auf allen Rechnern und Servern – inklusive der Frage, ob die Neustarts auch wirklich erfolgt sind. Bei Windows-10-Geräten müssen Sie die optionalen Updates eventuell selbst anstoßen. Und falls USB-Audio-Geräte weiterhin streiken: Das Problem ist bekannt, eine Lösung ist in Arbeit, aber noch nicht verfügbar.

Dieser Artikel wurde KI-unterstützt auf Basis einer Fachmeldung erstellt und vor der Veröffentlichung geprüft.