Microsoft meldet Rekord-Patchday mit mehr als 1.400 behobenen Schwachstellen

Aktiv ausgenutzte Lücke umgeht eine Windows-Sicherheitswarnung

Besondere Aufmerksamkeit erfordert eine Schwachstelle in der Windows Shell, die laut den Berichten bereits von Angreifern ausgenutzt wird. Heise nennt die Kennung CVE-2026-96951 und beschreibt die Lücke als Umgehung des Mark-of-the-Web-Mechanismus. Dieser kennzeichnet Dateien aus dem Internet; beim Öffnen kann Windows deshalb eine Warnung anzeigen. [1] [3] [5]

Nach der von Heise wiedergegebenen Beschreibung muss ein Nutzer für einen Angriff mitwirken, etwa indem er einen präparierten E-Mail-Anhang öffnet. Die Sicherheitslücke hebt in diesem Szenario eine Schutzbarriere aus, die vor dem Öffnen einer aus dem Internet stammenden Datei warnen soll. Aus den verfügbaren Quellen geht nicht hervor, wie viele Angriffe bereits stattgefunden haben oder wie verbreitet sie sind. [3] [5]

Betroffen sind laut T3n Windows 10 und Windows 11 sowie mehrere Server-Versionen. Heise nennt zusätzlich Windows Server 2016 und Windows Server 2025 als betroffene Ausgaben. Für Unternehmen ist damit nicht nur die Aktualisierung von Arbeitsplatzrechnern relevant: Auch Serverbestände sollten anhand der Microsoft-Produkt- und Versionsangaben geprüft werden. [1] [5]

Die Quellen beschreiben die Schwachstelle als aktiv ausgenutzt, nennen aber keine belastbare Zahl zu Vorfällen oder betroffenen Organisationen. Daraus lässt sich weder die konkrete Wahrscheinlichkeit eines Angriffs auf ein einzelnes Unternehmen ableiten noch schließen, dass ein Unternehmen bereits kompromittiert wurde. Die aktive Ausnutzung macht die Lücke dennoch zu einem sinnvollen Schwerpunkt der Patch-Priorisierung. [1] [3] [5]

• Prüfen Sie, ob die betroffenen Windows- und Server-Versionen in Ihrer Umgebung vorhanden sind. [1] [5]
• Beziehen Sie auch Systeme ein, auf denen Dateien aus E-Mails oder dem Internet geöffnet werden können; die beschriebene Angriffskette setzt laut Heise eine entsprechende Nutzeraktion voraus. [3] [5]

Weitere Schwachstellen: bekannt heißt nicht nachweislich ausgenutzt

Neben der Windows-Shell-Lücke waren nach Heise zwei weitere Schwachstellen bereits öffentlich bekannt: eine Lücke im .NET Framework und eine in MessagePack-CSharp. Heise beschreibt für .NET eine mögliche Umgehung von Sicherheitsfunktionen und für MessagePack-CSharp die Möglichkeit von Denial-of-Service-Angriffen. Die Quelle nennt diese beiden Fälle als öffentlich bekannt, nicht als aktiv ausgenutzt. [5]

Heise berichtet außerdem von mehreren kritischen Schwachstellen in Office, über die Angreifer Schadcode ausführen könnten, sowie von Lücken in weiteren Komponenten wie Active Directory, Dynamics 365, Exchange Server, Windows DHCP und dem Kernel. Für manche Schwachstellen nennt der Bericht die Möglichkeit einer Rechteausweitung bis hin zu Systemrechten. Die konkreten Auswirkungen unterscheiden sich nach Produkt und Schwachstelle; die pauschale Patchday-Gesamtzahl erlaubt keine Aussage, dass jede Lücke dieselbe Angriffsmöglichkeit bietet. [5]

Für die Reaktion ist die Unterscheidung zwischen aktiv ausgenutzt, öffentlich bekannt und lediglich behoben praktisch wichtig. Im vorliegenden Material ist die Windows-Shell-Lücke ausdrücklich als bereits angegriffen beschrieben. Bei den öffentlich bekannten .NET- und MessagePack-CSharp-Schwachstellen heißt es dagegen, Angriffe könnten bevorstehen. Diese Kategorien sollten in der internen Priorisierung getrennt bleiben. [3] [5]

KI als Erklärung für mehr gefundene und behobene Lücken

Microsoft führt laut T3n den schnelleren Umgang mit Sicherheitslücken auf moderne KI-Werkzeuge zurück, die bei der Erkennung von Schwachstellen und der Entwicklung von Patches eingesetzt würden. T3n berichtet zugleich von einem Rückgang der ausgenutzten Lücken im Vergleich zu den ersten neun Monaten des Vorjahres, nennt dafür aber keine Vergleichszahlen. [1]

ComputerBase gibt einen anderen zeitlichen Vergleich aus einem Bericht der Zero Day Initiative wieder: Demnach wurden von Januar bis Oktober 2023 insgesamt 17 ausgenutzte Schwachstellen gezählt, gegenüber 15 im gleichen Zeitraum des Jahres 2026. ComputerBase berichtet außerdem, Microsoft habe im gesamten Jahr 2023 insgesamt 914 CVEs geschlossen. Diese Angaben beziehen sich auf andere Vergleichszeiträume als der Vorjahresvergleich bei T3n und sind daher nicht unmittelbar austauschbar. [2]

Die vorliegenden Quellen bestätigen nicht unabhängig, dass KI den Rückgang bei ausgenutzten Lücken verursacht hat. Sie geben Microsofts Erklärung wieder und dokumentieren eine hohe Zahl geschlossener Schwachstellen sowie unterschiedliche Vergleiche zu ausgenutzten Lücken. Daraus folgt kein belastbarer Nachweis, dass Angreifer generell langsamer arbeiten oder Microsofts Patchprozess in jedem Fall schneller ist als die Ausnutzung durch Angreifer. [1] [2]

Für Unternehmen ist die KI-Erklärung deshalb eher ein Hinweis auf die vom Hersteller beschriebene Entwicklung als eine Grundlage, um die eigene Patch-Strategie zu verändern. Maßgeblich bleiben die konkret betroffenen Produkte, der Status einer Schwachstelle und die Verfügbarkeit eines Updates. Die Quellen liefern keine Kennzahlen dazu, wie stark KI die Zahl der gefundenen Lücken beeinflusst oder wie sich die Zeit bis zur Bereitstellung einzelner Patches dadurch verändert hat. [1] [2]

Supportende für Windows 11 24H2 Home und Pro

Der Patchday markiert für Windows 11 24H2 in den Editionen Home und Pro das letzte reguläre Sicherheitsupdate. Microsoft habe darauf in einer Support-Mitteilung hingewiesen, berichtet T3n. Wer mit diesen Editionen weiter Sicherheitsupdates erhalten möchte, muss auf eine neuere Version wechseln; als Beispiele nennt der Bericht 25H2 und 26H2. [1] [3]

Für IT-Verantwortliche ist das eine Bestands- und Migrationsaufgabe, die über die Installation des Oktober-Pakets hinausgeht. Sie sollten ermitteln, ob 24H2 Home oder Pro noch auf verwalteten Geräten vorhanden ist, und den Wechsel auf eine unterstützte neuere Version planen. Das ist besonders relevant, weil ein erfolgreich installiertes letztes Update den regulären Nachschub an Sicherheitskorrekturen für diese Ausgaben nicht fortsetzt. [1] [3]

Windows 10 ist ebenfalls von der aktiv ausgenutzten Shell-Schwachstelle betroffen. T-online berichtet, dass Windows-10-Geräte das Oktober-Update nur erhalten, wenn sie am Programm für erweiterte Sicherheitsupdates teilnehmen. Für private Nutzer sei dieses Programm bis Oktober 2027 verlängert worden. Diese Angaben sollten nicht mit dem Supportstatus von Windows 11 24H2 Home und Pro vermischt werden: Es handelt sich um unterschiedliche Produkt- und Updatebedingungen. [3]

Update-Rollout und bekannte Nebenwirkungen abwägen

ComputerBase nennt für das kumulative Windows-Update die Kennung KB5127648 und berichtet, dass es für Windows 11 24H2, 25H2 und 26H2 bereitgestellt wurde. Neben Sicherheitskorrekturen enthalte das Paket auch Fehlerbehebungen, etwa für stotternde Mauseingaben in einigen Spielen, Probleme bei der Fingerabdruckanmeldung sowie kleinere Fehler bei VPN-Diensten, Druckern und dem Explorer in Mehrnutzerumgebungen. [2]

Der Bericht weist zugleich auf weiterhin bekannte Probleme hin: Geräte mit USB Audio Class 1.0 können betroffen sein, und Remote-Desktop-Verbindungen können scheitern, wenn der Administrator-Schutz eingerichtet ist. Als vorübergehende Abhilfe nennt Microsoft laut ComputerBase, den Administrator-Schutz bei betroffenen Geräten zu deaktivieren. Das ist eine Herstellermaßnahme mit möglichen Sicherheitsauswirkungen und sollte daher nicht ohne Prüfung auf alle Systeme übertragen werden. [2]

Für einen Unternehmens-Rollout ergibt sich daraus ein Zielkonflikt zwischen zeitnaher Risikominderung und kontrollierter Einführung. Die aktiv ausgenutzte Sicherheitslücke spricht für eine hohe Priorität des Updates; die dokumentierten Kompatibilitätsprobleme sprechen für Tests und eine Beobachtung der betroffenen Funktionen. Eine gestufte Verteilung ist eine operative Ableitung aus diesen beiden Befunden, keine von den Quellen vorgegebene Pflichtprozedur. [2] [3] [5]

• Ordnen Sie die Schwachstellen den tatsächlich genutzten Microsoft-Produkten und Versionen zu. [2] [5]
• Priorisieren Sie die aktiv ausgenutzte Windows-Shell-Lücke, ohne öffentlich bekannte, aber nicht als aktiv ausgenutzt bezeichnete Fälle damit gleichzusetzen. [3] [5]
• Prüfen Sie nach dem Rollout insbesondere die in den Update-Berichten genannten Funktionen, darunter Remote Desktop und USB Audio Class 1.0. [2]

Was der Rekord für die Patchplanung bedeutet

Die Rekordzahl ist vor allem ein Signal für die Breite des Aktualisierungsbedarfs: Der größte Anteil entfällt auf Windows, zugleich sind Office, Entwicklungswerkzeuge und mehrere Server- und Cloud-Produktfamilien betroffen. Eine Organisation, die ihre Patchplanung nur auf Windows-Endgeräte ausrichtet, könnte damit relevante weitere Produkte übersehen. Diese Schlussfolgerung ergibt sich aus der Produktverteilung der gemeldeten Lücken; sie sagt nicht aus, dass jedes Unternehmen alle aufgeführten Produktfamilien betreibt. [1] [2]

Für eine belastbare Reihenfolge sollten Sie die Produktübersicht mit der Sicherheitslage verbinden: Die Windows-Shell-Lücke wird bereits ausgenutzt, während die Quellen andere Schwachstellen als kritisch oder öffentlich bekannt beschreiben, ohne für alle eine aktive Ausnutzung zu melden. Eine solche Differenzierung hilft, knappe Test- und Wartungsfenster auf die nach den verfügbaren Angaben dringendsten Risiken zu konzentrieren. [2] [3] [5]

Der Oktober-Patchday liefert damit einen klaren Anlass, Patchinventar, Supportstatus und Updateverteilung gemeinsam zu prüfen. Gleichzeitig sind zwei Grenzen der Meldelage zu beachten: Die Gesamtzahl ist in der ComputerBase-Darstellung nicht konsistent, und die angeführte KI-Erklärung ist eine Microsoft zugeschriebene Ursache, keine unabhängig bestätigte Wirkungsmessung. Für operative Entscheidungen sind deshalb die konkreten Produkt- und Schwachstelleninformationen aussagekräftiger als die Rekordzahl allein. [1] [2]

Quellen

1. [1] Microsoft: Oktober-Patchday stellt neuen Rekord auf — https://t3n.de/news/oktober-patchday-microsoft-schliesst-1-400-sicherheitsluecken-rekord-1768485 (abgerufen am 2026-10-15)
2. [2] Microsoft Oktober Patchday: Neuer Rekord mit 1.413 geschlossenen Sicherheitslücken - ComputerBase — https://www.computerbase.de/news/betriebssysteme/oktober-patchday-microsoft-verzeichnet-neuen-rekord-mit-1-413-geschlossenen-sicherheitsluecken.99815 (abgerufen am 2026-10-15)
3. [3] Windows Update Oktober 2026: Mehr als 1.400 Sicherheitslücken geschlossen — https://www.t-online.de/digital/aktuelles/id_101480862/windows-update-oktober-2026-mehr-als-1400-sicherheitsluecken-geschlossen.html (abgerufen am 2026-10-15)
4. [5] Patchday: Angreifer nutzen Windows-Shell-Lücke aus | heise online — https://www.heise.de/news/Patchday-Attacken-auf-verschiedene-Windows-Versionen-beobachtet-11487264.html (abgerufen am 2026-10-15)