Windows-Patching, wenn die Offenlegung im KI-Tempo erfolgt: unsere neue Forschung

Das Volumen der Windows- und Office-CVEs ist stark gestiegen, die durchschnittliche Schwere dieser CVEs jedoch nicht. Das ist der Kernbefund unserer neuen Forschung. Im letzten vollständigen Jahr (Oktober 2025 bis September 2026) zählt die Studie 2.438 verschiedene Windows- und Office-CVEs, 159,1 % mehr als die 941 des Vorjahres, während sich der mittlere CVSS-v3-Basiswert von 7,43 auf 7,37 und dann auf 7,28 bewegte. Für alle, die für Patching oder Anwendungspaketierung verantwortlich sind, lautet die nützliche Frage nicht mehr, wie viele CVEs veröffentlicht wurden. Sie lautet, wie man mit einem schnelleren Strom von Updates Schritt hält und belegt, dass jedes einzelne tatsächlich läuft.

Das Papier Windows patching when disclosure moves at AI speed ist eine deskriptive 36-Monats-Studie zu Windows- und Office-CVEs, zur Release-Taktung von Anwendungen und zum Zeitpunkt der Behebung. Verfasst hat es Ryan Mangan bei EfficientEther. Es handelt sich um Forschung aus dem Haus des Unternehmens, und sie wurde nicht begutachtet (Peer Review). Veröffentlicht ist sie als Open-Access-Preprint auf Zenodo unter einer CC-BY-4.0-Lizenz. Die Ausgabe von EtherApps Forge, dieselbe Forschung in einem gestalteten Layout, ist über die Registrierungsseite kostenlos erhältlich.

Was die Studie ergeben hat

Dies sind die Kernzahlen, wie das Papier sie nennt.

• 2.438 Windows- und Office-CVEs im letzten vollständigen Jahr, gegenüber 941 im Jahr davor und 679 im Jahr davor (+38,6 %, dann +159,1 %). Das Papier stellt fest, dass sich der Anstieg auf die Monate Mitte bis Ende 2026 konzentriert.
• Ein im Wesentlichen unveränderter mittlerer CVSS-v3-Wert von 7,43, 7,37 und 7,28. CVEs mit 9,0 oder höher stiegen zwischen den letzten beiden vollständigen Jahren von 11 auf 60, ein stabiler Durchschnitt bedeutet also in absoluten Zahlen dennoch deutlich mehr schwerwiegende Offenlegungen.
• 18 Windows-CVEs mit dokumentierter Anerkennung für KI-gestützte Entdeckung. Das ist eine quellengeprüfte Beispielsammlung. Sie ist keine Schätzung des KI-Anteils an den Entdeckungen.
• Release-Tage in einem Jahr: 69 für Microsoft Edge, 64 für Chrome und 61 für Visual Studio Code. Drei große Hersteller kündigten während der Studie kürzere Release-Zyklen an.
• Kein Durchschnitt der Behebungsdauer für die gesamte Kohorte. Keines der 4.058 CVEs im vollständigen 36-Monats-Fenster hat ein verwertbares strukturiertes Datumspaar von der Benachrichtigung bis zur Korrektur.

So lesen Sie die Zahlen

Die Studie ist deskriptiv, und ihre Grenzen sind ebenso wichtig wie ihre Ergebnisse.

• Sie behauptet keine Ursache. Die Schlussfolgerung des Papiers lautet, dass KI zur Veränderung beiträgt, doch ihr Anteil, ein universeller Multiplikator der Entdeckungsgeschwindigkeit und jede proportionale Änderung des Kompromittierungsrisikos bleiben ungemessen.
• Das Datum ist ein Meldedatum von Microsoft. Jedes CVE wird mit seiner frühesten gültigen Revision in den monatlichen Sicherheitsupdate-Dokumenten von Microsoft datiert. Das ist ein Näherungswert für die Offenlegung, kein beobachtetes Entdeckungsdatum und kein Datum der Patch-Installation beim Kunden.
• Oktober 2026 ist ein Teilmonat. Er reicht bis zum Stichtag der Belege am 26. Oktober und wird getrennt von den drei vollständigen Jahren ausgewiesen.
• Das Release-Panel ist bewusst klein. Sechs Anwendungs-Release-Streams veranschaulichen unterschiedliche Paketierungsmuster. Sie stehen nicht für alle Windows-Software, und ein Release-Tag bedeutet Verfügbarkeit, keine verpflichtende Bereitstellung.
• Aus dem Volumen lässt sich keine Arbeitslast ableiten. Das Wachstum der Offenlegungen lässt sich nicht in einen gleich hohen prozentualen Anstieg bei Paketen, Downloads, Neustarts oder Personalstunden umrechnen.

Das Papier legt zudem seine Interessen offen. EfficientEther entwickelt und verkauft EtherApps Forge, und die Studie bewertet weder EtherApps Forge noch ein anderes kommerzielles Produkt.

Für wen die Forschung gedacht ist

Wenn Sie in einer Organisation mit 50 bis 600 Benutzern für Patching, Endpoint-Management oder Anwendungspaketierung zuständig sind oder als MSP für mehrere Kunden arbeiten, liefert Ihnen das Papier drei Dinge für Ihr nächstes Planungsgespräch.

1. Eine belastbare Ausgangsbasis. Kohorten vollständiger Jahre mit expliziten Regeln, damit Sie keine rohen CVE-Summen mehr zitieren müssen, die Produkte, Daten und Teilmonate vermischen.
2. Ein Grund, die Release-Aufnahme von der Paketierungsarbeit zu trennen. Das Papier schlägt eine kontinuierliche Release-Aufnahme vor, getrennte Bahnen für schnelle, vorhersehbare und selten erscheinende Release-Streams, Belege dafür, dass jedes Update läuft, und Automatisierung für die Ausführung, während Menschen verantworten, was getestet wird, was als bestanden gilt und welche Ausnahmen akzeptabel sind.
3. Belege, die Sie weiterleiten können. Eine Zitierangabe und ein analytisches Supplement ermöglichen es einem Change Board, einer Finanzleitung oder einem Kunden, die Zahlen zu prüfen, statt uns einfach zu glauben.

Wo EtherApps Forge ins Bild passt

EtherApps Forge erfasst Windows-Anwendungen auf den Rechnern, auf denen sie bereits laufen, und macht daraus signierte MSIX-, MSI-, Intune- und App-Attach-Pakete für Microsoft Intune, Windows 365 und Azure Virtual Desktop. Das ist die Paketierungsseite der Arbeit, die diese Forschung beschreibt. Wenn Sie entscheiden, wie viel eines schnelleren Release-Stroms der Hersteller Ihr Team zentral paketieren sollte, zeigen MSIX-Paketierung und -Bereitstellung und Anwendungsmodernisierung und -migration den Weg. Unsere frühere Forschung zu 3.261 automatisierten MSIX-Paketierungsfällen und zum Stand der Anwendungspaketierung 2026 steht neben dieser Studie.

Zitieren als: Mangan, R. (2026). Windows Patching, AI-Assisted Discovery and Application Assurance: A 36-Month Descriptive Study of Windows and Office CVEs, Application Release Cadence and Remediation Timing. Zenodo. https://doi.org/10.5281/zenodo.23780566

Die Windows-Patching-Forschung erhalten und die Zahlen in Ihr nächstes Planungsgespräch zu Patching und Paketierung mitnehmen.