Microsofts September-Patch-Tuesday hat die Größenordnung der monatlichen Sicherheitsarbeit neu definiert. Nach Zählung des Forschers Dustin Childs von der Zero Day Initiative behob das Unternehmen rund 972 Sicherheitslücken – 997, wenn über Edge ausgelieferte Chromium-Korrekturen einbezogen werden – davon 112 mit der Bewertung kritisch.¹

Die Gesamtzahl übertrifft den bisherigen Rekord von 570 Korrekturen, der erst zwei Monate zuvor aufgestellt worden war. Microsoft hat in diesem Jahr nun 2.760 Sicherheitslücken geschlossen, mehr als doppelt so viele wie im vergangenen Jahr; beim derzeitigen Tempo würde die Jahresbilanz die Gesamtzahlen von 2023, 2024 und 2025 zusammen übersteigen.¹

Childs bezeichnete die steigenden Zahlen als die „neue Normalität“. Er lobte die Teams, die die Korrekturen vornehmen, verband dies jedoch mit einer eindringlicheren Warnung: „Die KI-gestützte Entdeckung von Schwachstellen zeigt keine Anzeichen einer Verlangsamung. Allerdings haben wir bislang keinen entsprechenden Anstieg bei aktiver Ausnutzung gesehen.“¹

Das Paket dieses Monats umfasst zwei aktiv ausgenutzte Zero-Days sowie Schwachstellen mit potenziell schwerwiegenden Folgen. Ein Fehler in Exchange Server könnte es einem nicht authentifizierten Angreifer ermöglichen, durch das Senden eines bösartigen Visio-Anhangs Code auszuführen; ein anderer betrifft Remote Desktop Services und hat einen Schweregrad von 9,8. Childs sagte, er habe aufgehört, zählbare Wurm-Schwachstellen zu erfassen, nachdem er 20 erreicht hatte – Fehler, die sich ohne Nutzerinteraktion von Rechner zu Rechner verbreiten können.¹

Die breitere Branche hat den Trend bereits als Wettlauf gegen die Zeit eingeordnet. Zwei Wochen vor der Veröffentlichung schlossen sich große KI- und Cloud-Unternehmen einem offenen Brief an, der davor warnte, dass sich das Zeitfenster zum Schließen von Schwachstellen verkürzen könnte, bevor KI-gestützte Angreifer beginnen, diese in großem Umfang auszunutzen.¹

Es gibt ein Gegenargument zur Alarmierung: Die KI-gestützte Fehlersuche bleibt teuer, kann falsch positive Ergebnisse erzeugen und gibt Anbietern einen Anreiz, Tools zu bewerben, die auf ihren eigenen kostspieligen Modellen basieren. Befürworter verweisen jedoch auf die steigenden Entdeckungszahlen, darunter Mozillas Bericht, wonach dessen von Mythos unterstützte Forschende 271 Schwachstellen mit nahezu keinen falsch positiven Ergebnissen fanden. Die entscheidende Frage lautet nicht mehr, ob der Berg an Patches real ist, sondern ob er ein Beleg für Kontrolle ist – oder für eine herannahende Flut.¹