Rekord-Patchday: Was die 1.414 Sicherheitslücken für Windows-Nutzer bedeuten

TVS News KI redaktionell betreut präsentiert Oktober-Patchday: Microsoft stopft 1.414 Lücken – eine wird schon ausgenutzt.

Microsoft hat beim Oktober-Patchday einen neuen Rekord aufgestellt: 1.413 Sicherheitslücken schließt der Konzern in seinen Produkten – so viele wie nie zuvor in einem einzigen Monat. Damit übertrifft der Oktober sogar den Vormonat September, in dem es 999 Schwachstellen waren. Rund 70 davon stuft Microsoft als kritisch ein, fast alle übrigen als wichtig. Eine dieser Lücken wird nach Angaben von Golem bereits aktiv ausgenutzt – und zwar schon, bevor das Update verteilt war.

Die aktiv ausgenutzte Lücke umgeht die Download-Warnung

Es handelt sich um CVE-2026-96951 in der Windows Shell mit einem CVSS-Score von 8.8. Die Schwachstelle geht auf eine Command Injection zurück: Die Shell neutralisiert Sonderzeichen in einem Befehl nicht richtig. Mit einer präparierten Datei oder einem Link können Angreifer so das sogenannte Mark of the Web (MotW) umgehen – also die Markierung, an der Windows Dateien aus dem Internet erkennt und vor dem Öffnen eine Warnung anzeigt. Der Angriff setzt allerdings voraus, dass ein Anwender die Datei tatsächlich öffnet oder dem Link folgt. Die US-Behörde CISA hat die Sicherheitslücke am 13. Oktober 2026 in ihren Katalog bekannter ausgenutzter Schwachstellen aufgenommen; für US-Bundesbehörden endet die Frist zum Schließen am 16. Oktober 2026 – Administratoren sollten dieses Update entsprechend zuerst verteilen.

Vorab bekannt: .NET und MessagePack-CSharp

Schon vor dem Patchday öffentlich bekannt waren zwei weitere Lücken. CVE-2026-108398 im .NET Framework trägt ebenfalls einen CVSS-Score von 8.8: Ein angemeldeter Angreifer kann eine präparierte .NET-Assembly ablegen, sie zum Laden durch einen geschützten Prozess registrieren und über einen unsicheren Suchpfad Windows Defender Application Control (WDAC) – die Richtlinie für erlaubte Programme – umgehen, um im geschützten Prozess Code auszuführen. CVE-2026-92707 in der Drittanbieter-Bibliothek MessagePack-CSharp (CVSS 5.3) erlaubt über eine unkontrollierte Speicherreservierung, Netzwerkdienste ohne Anmeldung zu stören. Microsoft meldet für keine der drei vorab bekannten Lücken konkrete Angriffe.

Fast 60 Lücken sind wurmfähig

Ein außergewöhnlich großer Teil der Oktober-Lücken lässt sich ohne Anmeldung und ohne Nutzeraktion über das Netz ausnutzen – Microsoft beschreibt dieses Muster für fast 60 Schwachstellen, die damit als wurmfähig gelten. Vier davon tragen den maximalen CVSS-Score von 9.8: CVE-2026-96934 im DHCP-Server, CVE-2026-100219 und CVE-2026-105016 in Microsoft QUIC sowie CVE-2026-97814 in Windows Text Shaping. Im Network Policy Server (NPS), der als RADIUS-Server VPN- und WLAN-Anmeldungen prüft, erreichen CVE-2026-100222 (Heap-Pufferüberlauf) und CVE-2026-85806 (Integer-Unterlauf) ebenfalls 9.8 – Microsoft stuft beide aber „nur" als wichtig und nicht als kritisch ein. Über einen präparierten Druckauftrag lassen sich zudem CVE-2026-70147 und CVE-2026-70153 im Microsoft PostScript Printer Driver (jeweils 9.8) ohne Anmeldung auslösen. Für keine dieser Lücken ist bisher eine Ausnutzung bekannt.

Outlook braucht keinen Klick

Besonders brisant sind fünf kritische Outlook-Lücken mit CVSS 9.8: CVE-2026-70242, CVE-2026-70291 und CVE-2026-97016 beruhen auf Heap-Pufferüberläufen, CVE-2026-88156 auf einem stapelbasierten Überlauf, CVE-2026-97749 auf einem Double Free. Der Clou: Eine präparierte Mail startet ihren Code bereits, sobald Outlook sie im Lesebereich anzeigt – der Empfänger muss die Nachricht weder öffnen noch anklicken. In Word genügt CVE-2026-70300 (9.8) ein WordPerfect-Dokument mit verknüpfter Grafik, in PowerPoint reicht CVE-2026-88178 (9.8) eine präparierte Präsentation an einen Office-Online-Dienst. Für keine dieser Office-Lücken meldet Microsoft bisher Angriffe – allerdings fehlen für Office LTSC für Mac 2021 und 2024 noch die Updates zu CVE-2026-88178, CVE-2026-70291 und CVE-2026-88156.

Exchange, Active Directory und SharePoint im Visier

Auch Serverbetreiber müssen aufpassen. CVE-2026-70571 in Exchange Server (CVSS 8.1) erlaubt Codeausführung ohne Anmeldung – Auslöser ist eine präparierte Mail, die einen internen Konvertierungsvorgang und darin einen stapelbasierten Pufferüberlauf anstößt. Microsoft hält eine Ausnutzung für wahrscheinlicher; das gilt auch für CVE-2026-70229 in den Active Directory Domain Services (8.1), die unter bestimmten Netzwerkkonfigurationen Codeausführung erlaubt. In SharePoint stuft Microsoft CVE-2026-102866 (8.1) als kritisch ein: Über eine fehlerhafte Signaturprüfung kann ein Angreifer mit dem gültigen Proof-Token eines Anwenders dieses Token verändern und sich anschließend als dieser Anwender ausgeben, um dessen Inhalte zu lesen oder zu ändern.

Cloud-Lücken sind längst gefixt

Vier Cloud-Schwachstellen hat Microsoft bereits am 8. Oktober 2026 ohne Kundenaktion geschlossen – Kunden der Dienste brauchen weder ein Update noch eine Konfigurationsänderung. Den höchsten CVSS-Score aller Oktober-Lücken von Microsoft erreicht dabei CVE-2026-96207 im Microsoft Partner Center mit 10.0: Über eine fehlerhafte Zertifikatsprüfung kann ein Angreifer ohne Anmeldung seine Rechte ausweiten. In Microsoft Bookings erlaubt CVE-2026-94510 (9.9) eine Umgehung der Autorisierung, in Dataverse CVE-2026-88131 (9.8) und im Azure App Service CVE-2026-77900 (9.8) jeweils Codeausführung ohne Anmeldung.

Letztes Update für Windows 11 24H2 Home und Pro

Eine Lebenszyklus-Meldung, die für viele Nutzer relevant ist: Wie WinFuture und Security Insider hervorheben, ist das Oktober-Update das letzte reguläre Sicherheits-Update für Windows 11 24H2 in den Home- und Pro-Ausgaben sowie für Windows 10 Enterprise LTSB 2016. Wer diese Versionen einsetzt, sollte den Sprung auf Windows 11 25H2 planen – die Home- und Pro-Ausgaben von 25H2 erhalten noch bis Oktober 2027 Updates. Die Enterprise- und Education-Editionen von Windows 11 23H2 bekommen ihr letztes Update am 10. November 2026. Windows Server 2022 wechselt mit dem Oktober in den Extended Support und erhält dort bis Oktober 2031 weiter Sicherheitsupdates. Privatanwender mit Windows 10 können sich noch bis zum 12.10.2027 in das ESU-Programm einschreiben.

Was das für dich bedeutet

Wenn du einen Exchange-Server, einen Domänencontroller oder einen NPS-basierten VPN-Zugang betreibst, ist Eile geboten – Microsoft hält eine Ausnutzung von CVE-2026-70571 und CVE-2026-70229 für wahrscheinlicher als bei anderen Lücken. Verteile diese Updates zuerst, danach Outlook und DHCP. Für Privatanwender heißt das: Windows-Update anstoßen, neu starten und prüfen, ob das Update erfolgreich installiert wurde. Auf Windows 11 24H2, 25H2 und 26H2 ist das die KB5127648 (Buildnummern 26100.9711, 26200.9711, 26300.9711), auf 26H1-ARM64-Geräten die separate KB5127646 (Build 28000.3231), auf Windows 10 die KB5126657. Wer noch Windows 11 24H2 Home oder Pro nutzt, sollte den Umstieg auf 25H2 einplanen – sonst ist im November Schluss mit regulären Patches.