Microsofts Oktober-Patchday behebt die Rekordzahl von über 1.400 Lücken

Microsoft hat am 13. Oktober seine Sicherheitsupdates für Oktober 2026 veröffentlicht und damit mehr als 1.400 Schwachstellen behoben. Das ist ein Rekord für einen einzelnen Patch Tuesday, den monatlichen Tag, an dem Microsoft seine Fixes ausliefert. Eine Lücke in der Windows Shell mit der Kennung CVE-2026-96951 wird bereits für Angriffe genutzt. Für Entwickler enthält die Liste außerdem kritische Fehler in PowerShell, OpenSSH for Windows und Visual Studio Code.

Wie viele Lücken genau

Die Tracker, die jede Veröffentlichung zählen, sind sich bei der Gesamtzahl nicht einig. Die Differenz ergibt sich daraus, wie jeder von ihnen die Grenzen der Veröffentlichung zieht.

Quelle	Anzahl	Anmerkung
BleepingComputer	1.411	Lässt 348 Lücken weg, die bereits früher im Oktober behoben wurden
CrowdStrike	1.413	75 als kritisch eingestuft
Tenable	1.413	Zählt Microsofts eigene Produkte; 1.102 in Windows
Zero Day Initiative	1.415	Nennt ihn den ersten Monat mit einer vierstelligen Zahl

BleepingComputer zählt 70 kritische Lücken. Nach Art aufgeschlüsselt führen sowohl BleepingComputer als auch CrowdStrike 677 Fehler zur Rechteausweitung (Elevation of Privilege) auf, mit denen ein Angreifer auf einem Rechner mehr Rechte erlangen kann. Sie führen außerdem 317 Fehler zur Remotecodeausführung auf, mit denen ein Angreifer eigenen Code ausführen kann.

Warum so viele? Laut BleepingComputer setzt Microsoft weiterhin KI-Plattformen ein, um Schwachstellen zu finden und zu beheben. Dustin Childs von der Zero Day Initiative sagt, KI beschleunige die Entdeckung von Fehlern für Verteidiger und Angreifer gleichermaßen. „Ein weiterer Monat mit Patches bedeutet einen weiteren neuen Rekord für Microsoft-Patches“, schrieb er.

Microsoft hat die Lücken außerdem in 15 „Risikokohorten“ (englisch „risk cohorts“) eingeteilt. Laut Microsoft zeigen die Gruppen nicht, welche Lücken am gefährlichsten sind.

Die Lücke, die Angreifer bereits nutzen

CVE-2026-96951 ist eine Umgehung einer Sicherheitsfunktion (Security Feature Bypass) in der Windows Shell. Sie hebelt Mark of the Web aus, die Markierung, die Windows aus dem Internet heruntergeladenen Dateien hinzufügt. Diese Markierung löst die Warnungen aus, bevor sich eine heruntergeladene Datei öffnet.

Microsoft beschreibt den Fehler als Command Injection und bestätigt, dass die Lücke ausgenutzt wird. Die Zero Day Initiative und CrowdStrike bewerten sie mit 8,8 von 10. Keiner der Berichte nennt, wer sie nutzt.

Tenable weist darauf hin, dass Windows Server 2012 R2 einen Fix erhält, Windows Server 2012 jedoch nicht.

Zwei Lücken, die vor dem Fix öffentlich wurden

Zwei weitere Fehler wurden öffentlich bekannt, bevor Microsoft einen Patch auslieferte:

• CVE-2026-108398, .NET Framework, bewertet mit 8,8. Damit kann ein bereits angemeldeter Angreifer App Control for Windows umgehen, das einschränkt, welcher Code ausgeführt werden darf. Laut Microsoft platziert der Angreifer eine präparierte .NET-Assembly und registriert sie so, dass sie in einem geschützten Prozess geladen wird.
• CVE-2026-92707, MessagePack-CSharp, bewertet mit 5,3. Das ist ein Denial-of-Service-Fehler in einer Drittanbieter-Bibliothek, die Daten in ein kompaktes Binärformat packt. Ein Drittanbieter hat ihn veröffentlicht, und Microsoft hat ihn in sein Update aufgenommen.

Kritische Fehler, die Entwickler kennen sollten

Mehrere kritische Lücken stecken in Tools, die Entwickler jeden Tag nutzen:

Lücke	Komponente	Schweregrad
CVE-2026-83578	PowerShell, Remotecodeausführung	9,8
CVE-2026-97816	OpenSSH for Windows, Remotecodeausführung	9,8
CVE-2026-102238	Visual Studio Code, Remotecodeausführung	9,6
CVE-2026-100219, CVE-2026-105016	QUIC-Netzwerkprotokoll, Remotecodeausführung	9,8
CVE-2026-70571	Exchange Server, Remotecodeausführung	8,1

Die Zero Day Initiative stuft den Exchange-Fehler als wurmfähig ein. Das heißt, er könnte sich ohne Zutun von Rechner zu Rechner verbreiten. Microsofts eigene Einstufung, die Tenable zitiert, lautet „Exploitation More Likely“ (Ausnutzung wahrscheinlicher). Tenable weist außerdem auf fünf Outlook-Fehler hin, die über den Vorschaubereich ausgelöst werden können.

Versionen, die keine Updates mehr erhalten

Laut BleepingComputer und Tenable ist dies die letzte Veröffentlichung für einige ältere Software:

• Windows 11 24H2 Home und Pro erreichen das Ende des Supports. Über den Wechsel zu 26H2 haben wir Anfang dieses Monats berichtet.
• Windows 10 Enterprise LTSB 2016 erhält sein letztes Update.
• Windows Server 2012 und 2012 R2 beenden laut Tenable am 14. Oktober das dritte Jahr der kostenpflichtigen Extended Security Updates.
• Office 2021 wird am 14. Oktober eingestellt, und Exchange Server 2016 und 2019 wechseln ab dem 15. Oktober in den Status „no ESU“.

Was das für Entwickler bedeutet

• Entwicklerrechner zuerst patchen. PowerShell, OpenSSH und VS Code haben alle kritische Fixes. Build-Server und Laptops, auf denen sie laufen, sind lohnende Ziele.
• MessagePack-CSharp aktualisieren. Prüfen Sie Ihre NuGet-Abhängigkeiten auf MessagePack und wechseln Sie zu der im Advisory genannten korrigierten Version.
• Bis zum Patch vorsichtig mit heruntergeladenen Dateien sein. Die ausgenutzte Lücke schaltet die Warnung ab, die Sie normalerweise davor schützt.
• Weg von Windows 11 24H2 Home und Pro. Diese Editionen erhalten nach diesem Monat keine Fixes mehr.
• Mit größeren Patch-Monaten planen. Adam Barnett von Tenable erwartet, dass die Mengen weiter steigen. Automatisieren Sie, wie Sie Updates sortieren und testen, statt jedes einzeln von Hand zu prüfen.