um zweiten Mal in Folge bricht Microsoft den eigenen Rekord: Der Patchday vom 13. Oktober 2026 schließt je nach Zählweise zwischen 1.407 und 1.415 Schwachstellen. Dustin Childs von der Zero Day Initiative hat das in seinem Review treffend eingeordnet: Dieser eine Monat übersteigt das Volumen jedes einzelnen Jahres, das Microsoft je veröffentlicht hat. Zum Vergleich: Das gesamte Jahr 2023 brachte es auf 914 CVEs. Vierstellige Patch-Zahlen mit sechsstelligen CVE-Nummern sind damit Realität, und ich sehe nichts, was diesen Trend in den nächsten Monaten umkehren würde.
Die Ursache ist dieselbe wie im September. Microsoft findet mit KI-gestützter Schwachstellensuche deutlich mehr Fehler als früher, und die Zero Day Initiative weist darauf hin, dass die Zahl der tatsächlich ausgenutzten Zero-Days nicht mitwächst: 15 Microsoft-Zero-Days von Januar bis Oktober 2026 gegenüber 17 im gleichen Zeitraum 2023. Die Entdeckung skaliert schneller als die Ausnutzung. Wer nach reiner CVE-Zahl priorisiert, verbrennt Ressourcen an den falschen Stellen.
Das heißt nicht, dass dieser Monat harmlos wäre. Es gibt einen aktiv ausgenutzten Zero-Day, der die Mark-of-the-Web-Schutzfunktion umgeht und für den laut Action1 bereits funktionsfähiger Exploit-Code existiert, eine kritische Remotecodeausführung in den Active Directory Domain Services, sechs kritische DHCP-Server-Lücken und eine Exchange-RCE, die technisch wurmfähig ist. Dazu kommt ein Stichtag, an dem gleich mehrere Produkte aus dem Support fallen. Dieser Überblick zeigt, was zuerst auf die Server gehört und was bis zur nächsten Rollout-Welle warten kann.
Die nackten Zahlen im Überblick
Wie jeden Monat weichen die Gesamtzahlen je nach Quelle ab, diesmal deutlicher als sonst. BleepingComputer zählt 1.411 Schwachstellen und schließt dabei 348 weitere aus, die Microsoft bereits früher im Monat für Azure-Dienste, Mariner, Dataverse und Partner Center veröffentlicht hatte. Tenable kommt auf 1.407 CVEs, davon 69 kritisch, 1.337 wichtig und eine mit niedriger Einstufung. Action1 nennt 1.409 Patches und 80 kritische Lücken, zählt dafür nur zwei Zero-Days. Die Zero Day Initiative sieht 1.415 neue CVEs. Günter Born gibt in seiner Security Update Summary 70 kritische an, ebenso BleepingComputer: 57 davon sind Remotecodeausführungen, 11 Rechteausweitungen und 2 Spoofing-Lücken. Ich verwende im Folgenden die BleepingComputer-Zahlen, weil sie sich auf die am Patchday selbst veröffentlichten Lücken beschränken. Die Abweichung bei den kritischen Lücken (69 bis 80) dürfte daran liegen, ob Azure- und Mariner-Einträge mitgezählt werden.
Nach Kategorien verteilt sich das Paket laut BleepingComputer ungefähr so: 677 Rechteausweitungen (Elevation of Privilege), 317 Remotecodeausführungen (RCE), 254 Fälle von Informationsoffenlegung, 73 Denial-of-Service-Lücken, 40 Umgehungen von Sicherheitsfunktionen und 28 Spoofing-Schwachstellen. Tenable rechnet das in Anteile um: 47,9 Prozent Rechteausweitungen, 22,3 Prozent RCE.
Für die Rollout-Planung ist die Produktverteilung interessanter. Tenable führt 301 betroffene Produkte und Komponenten auf. Ganz vorn liegt Excel mit 69 CVEs, gefolgt von der DNS-Server-Rolle mit 52, dem Windows-Kernel mit 46, dem Windows Installer mit 38 und dem Win32-Kernel-Subsystem mit 36. SharePoint bringt es auf 34, SQL Server auf 22. Dass die DNS-Server-Rolle auf Platz zwei steht, sollte jeden aufhorchen lassen, der Domänencontroller betreibt, denn dort läuft der DNS-Dienst in aller Regel.
Drei Zero-Days gibt es diesen Monat: einer wird aktiv angegriffen, zwei weitere waren vor dem Patch öffentlich bekannt. Die Zero Day Initiative hat zusätzlich 59 Lücken als wurmfähig identifiziert, also netzwerkbasiert ohne Authentifizierung und ohne Benutzerinteraktion ausnutzbar. Diese Zahl ist für mich die eigentliche Schlagzeile des Monats.
Risiko-Kohorten: Microsofts Antwort auf die eigene Flut
Neu in diesem Monat ist ein Versuch Microsofts, die Masse handhabbar zu machen. Unter dem Titel Using risk cohorts to prioritize security updates gruppiert das MSRC verwandte Schwachstellen in 15 Kohorten. Die größten für Oktober: 136 Lücken in Dateisystemen, Speicher und Backup, 135 in Office-Dokumenten und Mail-Clients, 131 in Grafik-, Medien- und Content-Verarbeitung, 109 an den Rechtegrenzen von Kernel und Core sowie 103 in Installation, Bereitstellung und Update-Diensten. Microsoft stellt klar, dass die Gruppen experimentell sind, keine offiziellen Kategorien darstellen und die Bewertung einzelner CVEs nicht ersetzen. Eine PDF-Zuordnung aller Oktober-CVEs zu ihren Kohorten liegt bei.
Dustin Childs merkt dazu trocken an, dass man so etwas früher Security Bulletin nannte: eine Komponente, mehrere CVEs, ein Dokument. Action1 geht in seinem Sysadmin-Brief einen ähnlichen Weg und sortiert nach dem, was man betreibt: Identitätsinfrastruktur zuerst (AD FS, AD, DNS, DHCP), dann SharePoint, dann Endgeräte, dann Geschäftsserver, dann die Appliances am Netzrand. Ich sehe das ähnlich. Der Kohorten-Ansatz ist richtig, kommt aber spät, und ob er in Patch-Management-Werkzeugen ankommt, muss sich erst zeigen. Für eine kleine Verwaltungs-IT ohne eigenes Security-Team ist jede Vorsortierung hilfreich, solange sie nicht dazu verführt, die Kohortengröße mit Gefährlichkeit zu verwechseln.
Die kritischsten Brennpunkte im Detail
Mehrere Lücken betreffen Server-Rollen, die in praktisch jeder Windows-Domäne laufen: Active Directory, DHCP, DNS, Remote Desktop Gateway. Dazu kommt der aktiv ausgenutzte Zero-Day auf den Clients. Es folgt die technische Aufarbeitung der Patches, die ich diesen Monat zuerst einspielen würde.
1. Windows Shell Security Feature Bypass (CVE-2026-96951)
CVSS-Score: 8,8
SCHWERWIEGENDKEIT: Hoch (==aktiv ausgenutzt==)
BEDROHUNG: Security Feature Bypass (Umgehung von Mark of the Web)
EXPLOITS: Dies ist die einzige nachweislich aktiv ausgenutzte Schwachstelle dieses Monats. Microsoft hat keine Angaben dazu gemacht, wer sie entdeckt hat oder wie die Angriffe im Detail ablaufen. Action1 führt die Exploit-Code-Reife als „Functional“, es existiert also funktionsfähiger Exploit-Code, nicht nur ein theoretischer Nachweis. Tenable ordnet die Lücke als dritte in freier Wildbahn ausgenutzte Windows-Shell-Lücke des Jahres 2026 ein, nach CVE-2026-21510 im Februar und CVE-2026-32202 im April. Die Zero Day Initiative verweist darauf, dass Angreifer seit 2024 immer wieder Wege um Mark of the Web herum gefunden haben; diesmal ist es die Shell statt SmartScreen, das Ergebnis ist dasselbe.
TECHNISCHE ZUSAMMENFASSUNG: Ursache ist eine unzureichende Neutralisierung von Sonderzeichen in Befehlen, also eine Command Injection (CWE-77) in der Windows-Shell. Ein Angreifer schickt dem Opfer eine präparierte Datei, etwa per E-Mail, Messenger oder über eine Webseite. Öffnet der Nutzer den Anhang oder Link, umgeht die Datei die Mark-of-the-Web-Kennzeichnung (MOTW), mit der Windows aus dem Internet stammende Dateien markiert und die nachgelagerte Schutzmechanismen wie SmartScreen oder die geschützte Office-Ansicht auslöst.
AUSNUTZBARKEIT: Der Angriff erfolgt über das Netzwerk, braucht keine Rechte, aber eine Benutzerinteraktion. Das ist in der Praxis keine Hürde: Phishing mit Dateianhang ist der häufigste Erstzugang überhaupt. Betroffen sind laut Action1 Windows 10 ab Version 1607, Windows 11 von 23H2 bis 26H1, Windows Server 2012 R2 bis 2025 sowie Visual Studio 2026. Ein Kommentator bei Born weist zu Recht darauf hin, dass MOTW ohnehin nur auf NTFS- und ReFS-Laufwerken existiert; auf FAT- oder exFAT-Datenträgern gibt es die Kennzeichnung gar nicht.
AUSWIRKUNGEN AUF DAS GESCHÄFT: MOTW ist der erste Baustein der Verteidigung gegen Dokument-Malware. Fällt er, laufen Makro-Sperren und Warndialoge ins Leere, und ein Anhang aus einer Bewerbungs- oder Rechnungsmail verhält sich wie eine lokal erstellte Datei. Für Verwaltungen mit hohem Mailaufkommen aus unbekannten Quellen, also für praktisch jedes Bürgerbüro, ist das der gefährlichste Patch des Monats.
WORKAROUND: Microsoft nennt keinen. Flankierend: Attack Surface Reduction Rules gegen Office-Kindprozesse, Application Control und ein EDR, das verdächtige Prozessketten nach dem Öffnen von Anhängen erkennt. Wer Anhänge aus dem Internet ohnehin in einer Sandbox öffnet, hat einen Puffer.
DRINGLICHKEIT: Höchste. Auf alle Clients, zuerst auf die, die externe Mails empfangen. Das Update erfordert einen Neustart.
2. .NET Framework Security Feature Bypass (CVE-2026-108398)
CVSS-Score: 8,8
SCHWERWIEGENDKEIT: Hoch (öffentlich bekannt)
BEDROHUNG: Security Feature Bypass (Umgehung von Windows Defender Application Control)
EXPLOITS: Die Lücke war vor Verfügbarkeit des Patches öffentlich bekannt. Entdeckt und gemeldet hat sie James Forshaw von Google Project Zero. Aktive Angriffe sind nicht bekannt, Microsoft stuft die Ausnutzung aber als „eher wahrscheinlich“ ein.
TECHNISCHE ZUSAMMENFASSUNG: Ursache ist ein unsicherer Suchpfad (Untrusted Search Path, CWE-426) im .NET Framework. Ein authentifizierter Angreifer mit niedrigen Rechten platziert eine präparierte .NET-Assembly auf dem System und registriert sie so, dass ein geschützter Prozess sie lädt. Gelingt das, umgeht der Code die Richtlinien von Windows Defender Application Control (WDAC) und läuft im Kontext des geschützten Prozesses. Eine Benutzerinteraktion ist nicht erforderlich, der Scope ist „changed“, der Angreifer verlässt also die Sicherheitsgrenze der verwundbaren Komponente.
AUSNUTZBARKEIT: Lokaler Zugriff mit einem gültigen Konto genügt. Relevant ist die Lücke vor allem dort, wo WDAC die zentrale Verteidigungslinie ist, etwa auf gehärteten Verwaltungsarbeitsplätzen oder Admin-Workstations. Wichtig für den Rollout: Die .NET-Framework-Updates sind eigene Pakete außerhalb des kumulativen Windows-Updates. Action1 nennt für Windows 10 21H2 die KBs 5127689, 5127690, 5127692 und 5127694, für Windows Server 2022 KB5127693, für Windows Server 2025 KB5127690 und für Windows 11 26H1 KB5127691.
AUSWIRKUNGEN AUF DAS GESCHÄFT: Wer Application Control einsetzt, verlässt sich darauf, dass nur freigegebener Code läuft. Diese Lücke höhlt genau diese Garantie aus. Als zweiter Baustein nach einem Phishing-Erstzugang ist sie eine saubere Möglichkeit, Schutzmaßnahmen stillzulegen.
WORKAROUND: Microsoft nennt keinen. Darüber hinaus die WDAC-Richtlinien auf überbreite Freigaben für .NET-Pfade prüfen.
DRINGLICHKEIT: Hoch, zumal Forshaw erfahrungsgemäß Details veröffentlicht, sobald der Patch verfügbar ist.
Der dritte Zero-Day, CVE-2026-92707, ist ein Denial-of-Service in MessagePack-CSharp (CVSS 5,3, moderat), der von dritter Seite veröffentlicht wurde und den Microsoft jetzt in sein Release aufgenommen hat. Action1 zählt ihn nicht mit, daher die „zwei Zero-Days“ dort. Für die meisten Umgebungen ist das ein Entwicklerthema, kein Server-Notfall.
3. Active Directory Domain Services Remote Code Execution (CVE-2026-70229)
CVSS-Score: 8,1
SCHWERWIEGENDKEIT: ==Kritisch==
BEDROHUNG: Remote Code Execution (RCE / wurmfähig)
EXPLOITS: Aktive Angriffe sind nicht bekannt. Microsoft stuft die Ausnutzung als „eher wahrscheinlich“ ein. Die Zero Day Initiative führt die Lücke in ihrer Liste wurmfähiger Schwachstellen.
TECHNISCHE ZUSAMMENFASSUNG: Ursache ist laut Action1 eine fehlerhafte Autorisierung (Incorrect Authorization, CWE-863) in AD DS. Ein nicht authentifizierter Angreifer schickt ein präpariertes Paket an den AD-DS-Dienst und erreicht damit Codeausführung auf dem Domänencontroller. Die Angriffskomplexität ist hoch: Es müssen bestimmte Netzwerkkonfigurationen und Timing-Bedingungen zusammenkommen. Vier weitere AD-DS-Lücken (CVE-2026-88165 als RCE, dazu drei Denial-of-Service-Fälle) wurden parallel geschlossen.
AUSNUTZBARKEIT: Netzwerkbasiert, ohne Anmeldung, ohne Interaktion. Der Angreifer muss den Domänencontroller erreichen können, was in flachen Verwaltungsnetzen ohne Segmentierung jeder kompromittierte Client kann. Betroffen sind Windows Server 2012 bis 2025 inklusive Server Core sowie die Clients, die den Code mitbringen.
AUSWIRKUNGEN AUF DAS GESCHÄFT: Codeausführung auf dem Domänencontroller ist der Worst Case, ohne Umweg. Der Angreifer kontrolliert damit das Verzeichnis, alle Konten und über Gruppenrichtlinien jedes Gerät in der Domäne.
WORKAROUND: Keiner. Domänencontroller zuerst patchen und den Zugriff auf AD-Ports aus Client-Segmenten über Firewall-Regeln auf das Nötige beschränken.
DRINGLICHKEIT: Kritisch. Mit CVE-2026-96951 zusammen der Patch, den ich keinen Tag liegen lassen würde.
4. Windows DHCP Server Remote Code Execution (CVE-2026-96934)
CVSS-Score: 9,8
SCHWERWIEGENDKEIT: ==Kritisch==
BEDROHUNG: Remote Code Execution (RCE / wurmfähig)
EXPLOITS: Aktive Angriffe sind nicht bekannt. Insgesamt sind diesen Monat sechs DHCP-Server-Lücken wurmfähig (CVE-2026-96934, CVE-2026-88117, CVE-2026-88119, CVE-2026-88120, CVE-2026-96320, CVE-2026-69830), fünf davon stuft Microsoft als kritisch ein. CVE-2026-96934 ist mit 9,8 die schwerste; CVE-2026-88117, CVE-2026-88119, CVE-2026-88120 und CVE-2026-88171 erreichen jeweils 8,1, verlangen aber das Gewinnen einer Race Condition.
TECHNISCHE ZUSAMMENFASSUNG: CVE-2026-96934 ist ein Use-after-free-Fehler. Ein nicht authentifizierter Angreifer sendet präparierte Pakete an den DHCP-Server-Dienst und erreicht Codeausführung oder bringt den Dienst zum Stillstand. Die entscheidende Einschränkung, die nur Action1 nennt: Die Lücke betrifft DHCP-Server im Failover-Modus. Wer DHCP-Failover für Hochverfügbarkeit konfiguriert hat, hat damit genau die Konfiguration, die der Angriff braucht. Die drei 8,1er-Lücken sind ebenfalls Use-after-free-Fehler mit Race Condition, CVE-2026-88171 ein Double Free. Ergänzend gibt es eine kritische RCE im DHCP-Client (CVE-2026-70250, CVSS 8,8, Use-after-free plus Race Condition), die laut Action1 Windows Server 2012 bis 2025 sowie Windows 10 1607 und 1809 betrifft.
AUSNUTZBARKEIT: DHCP ist per Definition ein Dienst, der unauthentifizierte Anfragen aus dem lokalen Netz beantwortet. Jedes Gerät im selben Segment ist ein möglicher Absender, inklusive eines mitgebrachten Notebooks am Besprechungsraum-Port. Die Client-Lücke braucht einen Angreifer im benachbarten Netz.
AUSWIRKUNGEN AUF DAS GESCHÄFT: Wie im September läuft der DHCP-Server-Dienst in kleinen Verwaltungen häufig direkt auf einem Domänencontroller, und DHCP-Failover zwischen zwei DCs ist ein verbreitetes Setup. Dann ist eine DHCP-RCE eine DC-RCE. Die Client-Lücke wiederum macht aus einem Rogue-DHCP-Server im Gästenetz ein Werkzeug zur Übernahme von Servern.
WORKAROUND: Patchen. DHCP-Server vom Domänencontroller trennen, wo das noch nicht geschehen ist. DHCP-Snooping auf den Switches aktivieren, um Rogue-Server zu blockieren; das hilft gegen die Client-Lücke. Failover abzuschalten ist laut Action1 eine Option, aber nur nach Abwägung der Verfügbarkeit.
DRINGLICHKEIT: Kritisch, unmittelbar nach den Domänencontrollern. Zuerst die Failover-Paare identifizieren.
5. Microsoft Exchange Server Remote Code Execution (CVE-2026-70571)
CVSS-Score: 8,1
SCHWERWIEGENDKEIT: ==Kritisch==
BEDROHUNG: Remote Code Execution (RCE / Remotecodeausführung)
EXPLOITS: Aktive Angriffe sind nicht bekannt, Microsoft bewertet die Ausnutzung aber als „eher wahrscheinlich“. Die Zero Day Initiative nennt die Lücke technisch wurmfähig, hält eine tatsächliche Wurmwelle aber für unwahrscheinlich: Microsoft schreibt, der Angreifer brauche tiefes Wissen über die Zielumgebung, und ein Erfolg sei nicht garantiert.
TECHNISCHE ZUSAMMENFASSUNG: Es handelt sich um einen stapelbasierten Pufferüberlauf. Ein nicht authentifizierter Angreifer schickt eine präparierte E-Mail an einen verwundbaren Exchange-Server. Die Mail löst einen internen Prozess zur Inhaltskonvertierung aus, und in diesem Prozess kommt es zur Codeausführung. Eine Benutzerinteraktion ist nicht erforderlich, weil der Server die Mail selbst verarbeitet.
AUSNUTZBARKEIT: Jeder Exchange-Server, der Mails aus dem Internet annimmt, ist erreichbar. Das ist der Sinn eines Mailservers. Die Einschränkung „tiefes Wissen über die Zielumgebung“ senkt die Wahrscheinlichkeit eines Massenangriffs, nicht die eines gezielten.
AUSWIRKUNGEN AUF DAS GESCHÄFT: Codeausführung auf dem Mailserver bedeutet Zugriff auf jedes Postfach, jeden Anhang, jeden Kalender. Dazu kommt im selben Update eine Spoofing-Lücke mit CVSS 9,3 (CVE-2026-70279), ebenfalls als „eher wahrscheinlich“ eingestuft: Ein Klick eines Administrators auf einen präparierten Link reicht, um Organisationsdaten lesen oder ändern zu können. Zwei Rechteausweitungen mit CVSS 8,8 (CVE-2026-96940, CVE-2026-77910) runden das Bild ab.
WORKAROUND: Das Exchange-SU einspielen (siehe eigener Abschnitt). Admin-Konten für Exchange nicht zum Surfen oder Mailen verwenden; das entschärft die Spoofing-Lücke.
DRINGLICHKEIT: Hoch bis kritisch für jeden On-Premises-Exchange, der aus dem Internet erreichbar ist.
6. Microsoft SharePoint Elevation of Privilege (CVE-2026-102866)
CVSS-Score: 8,1
SCHWERWIEGENDKEIT: ==Kritisch==
BEDROHUNG: Elevation of Privilege (Authentifizierung als beliebiger Benutzer)
EXPLOITS: Aktive Angriffe sind nicht bekannt. Die Zero Day Initiative hebt die Lücke aus den 34 SharePoint-CVEs dieses Monats heraus, weil sie die einzige kritische und die einzige ohne Authentifizierung ausnutzbare ist.
TECHNISCHE ZUSAMMENFASSUNG: Ursache ist eine fehlerhafte Prüfung kryptografischer Signaturen (CWE-347). Wer ein gültiges Proof-Token eines bestimmten Benutzers in die Hände bekommt, kann es verändern, an den Server schicken und sich als dieser Benutzer authentifizieren. Die Angriffskomplexität ist hoch, weil laut Action1 bestimmte Protokolleinstellungen vorliegen müssen. Betroffen ist ausschließlich SharePoint Server Subscription Edition, das Update ist KB5002927.
AUSNUTZBARKEIT: Die Hürde ist das Token. Die ZDI merkt an, dass es dafür mehrere Wege gibt. Wer sich an die SharePoint-Vorfälle der letzten Monate erinnert, bei denen Machine Keys von On-Premises-Servern gestohlen wurden, weiß, wie realistisch das ist.
AUSWIRKUNGEN AUF DAS GESCHÄFT: SharePoint ist in vielen Verwaltungen das Dokumentenmanagement. Ein Angreifer, der sich als Sachgebietsleiter authentifizieren kann, liest, was dieser lesen darf, und das ist in der Regel viel.
WORKAROUND: Patchen. SharePoint-Server grundsätzlich nicht direkt aus dem Internet erreichbar machen.
DRINGLICHKEIT: Hoch für alle SharePoint-SE-Installationen.
Weitere kritische Schwachstellen im Überblick
Die Liste der kritischen Netzwerk-RCEs ist diesen Monat lang. Microsoft QUIC bringt zwei Lücken mit CVSS 9,8 (CVE-2026-100219, CVE-2026-105016), die neben Windows auch .NET 8 bis 11 und Visual Studio betreffen. Der PostScript-Druckertreiber hat ebenfalls zwei (CVE-2026-70147, CVE-2026-70153), ausgelöst durch einen präparierten Druckauftrag über das Netz, dazu eine dritte mit 8,8 (CVE-2026-108467), für die ein authentifizierter Benutzer mit niedrigen Rechten genügt. Das Message Queuing hat eine 9,8er-RCE (CVE-2026-100202), Windows Text Shaping ebenfalls (CVE-2026-97814). Im Remote Desktop Gateway sind drei Lücken wurmfähig, darunter die kritische CVE-2026-70187, ein Use-after-free im Gateway-Dienst; wer RD Gateway als Homeoffice-Zugang betreibt, sollte das vor dem Wochenende erledigen. Hyper-V erhält zwei kritische RCEs (CVE-2026-102214, CVE-2026-105733), bei denen ein Angreifer mit niedrigen Rechten in einer VM Code auf dem Host ausführt, die zweite auch aus verschachtelter Virtualisierung heraus. Der Network Policy Server, in vielen Verwaltungen die RADIUS-Instanz für WLAN und VPN, bringt vier wurmfähige Lücken. Die Windows Deployment Services bekommen erneut eine kritische RCE (CVE-2026-88174), der Network Device Enrollment Service eine kritische RCE durch schwache Authentifizierung (CVE-2026-69802). Und im DNS-Server steckt neben den beiden wurmfähigen Lücken eine weitere kritische RCE (CVE-2026-96113), für die Microsoft keinen CVSS-Score veröffentlicht hat; Action1 führt sie trotzdem in der Kategorie „Same Day Deployment“.
Zwei Lücken verdienen aus Verwaltungssicht einen eigenen Satz. CVE-2026-108457 ist eine kritische RCE in Windows PDF (CVSS 8,1): Ein präparierter PDF-Anhang per E-Mail löst sie auf Systemen aus, die PDF-Inhalte automatisch verarbeiten, ohne dass jemand die Datei öffnet. Wer einen digitalen Posteingang mit automatischer Dokumentenerfassung betreibt, hat hier ein Thema. Und CVE-2026-108471, eine kritische Rechteausweitung in den VBS-Enklaven, betrifft laut Action1 ausschließlich Windows Server 2019 und Windows 10 1809, also genau die Server-Generation, die in Kommunen noch am längsten läuft.
Bemerkenswert sind mehrere Lücken, die nur als „wichtig“ eingestuft sind, aber CVSS 9,8 erreichen: Failover Cluster (CVE-2026-88102) und der zugehörige virtuelle Treiber (CVE-2026-96864), PowerShell (CVE-2026-83578) und OpenSSH für Windows (CVE-2026-97816). Die Einstufung „wichtig“ sagt hier wenig über das Risiko. Die SQL-Server-RCE CVE-2026-65674 (CVSS 8,8, Deserialisierung, authentifiziert) hat laut ZDI die beste Ausnutzbarkeitsbewertung aller 22 SQL-Lücken des Monats; Fachverfahren mit eigenem SQL-Backend sind damit betroffen.
Office ist diesmal selbst eine Kohorte. Fünf Outlook-RCEs erreichen CVSS 9,8 (CVE-2026-70242, CVE-2026-70291, CVE-2026-88156, CVE-2026-97016, CVE-2026-97749), und bei allen fünf reicht laut Action1 die Anzeige der Mail im Lesebereich; kein Klick, kein Anhang. Dazu kommt eine Word-RCE mit 9,8 (CVE-2026-70300), ausgelöst durch ein WordPerfect-Dokument mit verknüpfter Grafik im Vorschaufenster, und eine PowerPoint-RCE mit 9,8 (CVE-2026-88178), die über eine an Office Online Server eingereichte Präsentation zündet. Die rund zwei Dutzend kritischen Excel-RCEs mit CVSS 8,8 brauchen dagegen alle das Öffnen der Datei; das Vorschaufenster ist dort laut Microsoft kein Angriffsvektor. Zwei Dinge zum Rollout: Office Online Server bekommt KB5002928, und für Office LTSC for Mac 2021 und 2024 waren die Updates am Patchday noch nicht verfügbar. Die Office-Updates laufen separat vom kumulativen Windows-Update und werden in Verwaltungen, die Office per Click-to-Run verteilen, gern vergessen.
Tenable hebt außerdem eine Reihe als „eher wahrscheinlich“ eingestufter Rechteausweitungen hervor, darunter fünf im Windows-Update-Stack (CVE-2026-69673, CVE-2026-69718, CVE-2026-69733, CVE-2026-69783, CVE-2026-69882, jeweils 7,8), WebDAV (CVE-2026-102217, 8,8) und eine RCE im Background Intelligent Transfer Service (CVE-2026-88159, 8,8).
Abseits von Microsoft war der Oktober nicht ruhiger. Adobe hat laut ZDI 11 Bulletins mit 174 CVEs veröffentlicht; die dringendsten betreffen ColdFusion (32 CVEs, bis CVSS 10,0, Pre-Auth-RCE-Profil), Commerce und Experience Manager. Aktiv ausgenutzt wurden im Oktober Zero-Days bei Citrix NetScaler (CVE-2026-88779), Fortinet FortiMail (CVE-2026-104286), Ivanti Connect Secure und laut Action1 ein Authentifizierungs-Bypass in Cisco Identity Services Engine (CVE-2026-76460); eine kritische Atlassian-Lücke (CVE-2026-21589) und eine SonicWall-SMA1000-SSRF wurden jeweils kurz nach Veröffentlichung eines Proof-of-Concept angegriffen. SAP schließt 20 Lücken, darunter eine mit Höchstwertung im Cloud SDK für Python. Action1 bringt es auf den Punkt: Die Appliances am Netzrand gehören in denselben Patch-Plan wie Windows, nicht in den danach.
Support-Ende: Der 13. Oktober als Stichtag
Dieser Patchday ist gleichzeitig ein Lifecycle-Termin, und zwar ein umfangreicher. Microsoft hat in seinem Message Center bestätigt, dass Windows 11 24H2 in den Editionen Home und Pro sowie Windows 10 Enterprise LTSB 2016 mit dem Oktober-Update ihr letztes Sicherheitsupdate erhalten haben. Die Enterprise- und Education-Editionen von 24H2 bleiben bis zum 12. Oktober 2027 unterstützt. Microsoft empfiehlt den Umstieg auf Windows 11 26H2, das seit September 2026 als Enablement Package ausgerollt wird und für Consumer bis Oktober 2029 unterstützt ist.
Mit dem November-Patchday folgt die nächste Welle: Windows 11 23H2 Enterprise, Education und IoT Enterprise erhalten ab dann keine Sicherheitsupdates mehr. Wer in der Verwaltung noch 23H2-Geräte hat, weil der Hardware-Rollout hinterherhinkt, hat genau einen Patchday Zeit.
Auf der Server-Seite endet laut Tenable am 13. Oktober das letzte ESU-Jahr für Windows Server 2012 und 2012 R2. Die Oktober-Pakete KB5126835 und KB5126836 sind damit die letzten Updates für diese Systeme, in keinem Programm gibt es danach noch Patches. Windows Server 2022 wechselt am selben Tag vom Mainstream- in den Extended Support, der bis zum 14. Oktober 2031 läuft; Sicherheitsupdates gibt es weiterhin, Funktionsupdates nicht. Dazu fallen Office 2021, Office LTSC 2021 und Skype for Business LTSC 2021 aus dem Support. Für Verwaltungen, die Office 2021 wegen der Kaufmodell-Lizenzierung gewählt haben, ist das die ungemütlichste Nachricht des Tages.
Exchange Server: letztes Update für 2016 und 2019
Microsoft hat am Patchday das Oktober-SU für Exchange Server veröffentlicht, Details stehen im Techcommunity-Beitrag. Bereitgestellt wird es für Exchange Server Subscription Edition RTM (KB5128895), Exchange Server 2019 CU14 (KB5128897) und CU15 (KB5128896) sowie Exchange Server 2016 CU23 (KB5128898). Für 2016 und 2019 ist der Zugang weiterhin an das kostenpflichtige ESU-Programm der Phase 2 gebunden. Exchange Online ist bereits geschützt; dort beschränkt sich der Handlungsbedarf auf verbliebene On-Premises-Server und Workstations mit Exchange-Verwaltungstools. Laut Action1 erfordert das SU keinen Neustart, und bekannte Probleme sind nicht verzeichnet.
Günter Born hält in seinem Exchange-Beitrag fest, dass dies das letzte Update für Exchange Server 2016 und 2019 ist; ab November erscheinen Sicherheitsupdates nur noch für die Subscription Edition. Wer jetzt noch auf 2016 oder 2019 steht, betreibt ab dem nächsten Patchday einen Mailserver ohne Patches. Das ist keine Option, die ich in einer Verwaltung verantworten würde.
Das SU schließt die oben beschriebene RCE CVE-2026-70571 sowie laut ZDI-Liste sechs weitere Exchange-Lücken, darunter die Spoofing-Lücke CVE-2026-70279 (CVSS 9,3) und zwei Rechteausweitungen mit 8,8. Zusätzlich werden zwei Fehler behoben: Veröffentlichte Kalender im ICS-Format lieferten für Kalender-Anwendungen einen HTTP-500-Fehler (KB5126672), und die ContentEngine konnte wegen fehlender koreanischer WordBreaker-Regeldateien in einen Deadlock laufen (KB5130098). Born erwähnt bekannte Probleme des Updates, ohne sie im Detail zu nennen, Action1 verzeichnet keine; die FAQ im Techcommunity-Beitrag ist vor der Installation trotzdem Pflichtlektüre. Wie immer gilt: SU aus einer administrativen Eingabeaufforderung installieren und danach den Exchange Health Checker laufen lassen.
Handlungsempfehlungen für Ihre IT-Infrastruktur
Beginnen Sie mit den Domänencontrollern. Die AD-DS-RCE, die DHCP-Server-Lücken und die 52 DNS-Server-CVEs treffen alle dieselben Maschinen, und ein kompromittierter DC ist das Ende der Domäne. Prüfen Sie dabei zuerst, ob Ihr DHCP im Failover-Modus läuft, denn das ist die Voraussetzung für die 9,8er-Lücke. Diese Systeme gehören an den Anfang der ersten Rollout-Welle, noch vor den Clients.
Direkt danach kommt der aktiv ausgenutzte MOTW-Bypass auf die Clients. Die Lücke wird nachweislich angegriffen, Exploit-Code existiert, und der Angriffsweg ist der Dateianhang in der Mail, also der Alltag jeder Poststelle. Ich würde diesen Patch nicht bis zum regulären Client-Zyklus liegen lassen, sondern ihn als eigenen Durchlauf auf alle Geräte bringen, die externe Mails empfangen. Die Outlook-Lücken, die im Lesebereich zünden, gehören in denselben Durchlauf.
Vergessen Sie die Nebenschauplätze nicht. Exchange, SharePoint, SQL Server und Office haben eigene Updates, das .NET Framework ebenfalls. RD Gateway, NDES und Network Policy Server sind in kleinen Verwaltungen oft einzelne Server, die niemand auf dem Schirm hat, bis sie fehlen. Die ZDI-Liste mit 59 wurmfähigen Lücken ist ein guter Abgleich gegen die eigene Server-Inventur.
Führen Sie den Rollout trotz der Dringlichkeit in Wellen durch. Bei 1.400 Schwachstellen ändert sich viel Code gleichzeitig, und die September-Updates haben mit kaputten Always-On-VPN-Verbindungen, defekter Dateiversionsverlauf-Sicherung und USB-Audio-Ausfällen gezeigt, was dann passiert. Ich habe das in der Patchday-Nachlese September 2026 zusammengefasst. Testgruppe zuerst, dann die Fläche, dann prüfen, ob Anmeldung, Fernzugriff, Mail und DNS nach dem Neustart noch funktionieren.
Nutzen Sie den Stichtag für eine Inventur. Server 2012, Windows 11 24H2 Home/Pro, Office 2021, Exchange 2016/2019: Alles, was heute das letzte Update bekommen hat, muss auf eine Liste mit Ablöseterminen. Nicht in drei Monaten, sondern diese Woche.
Neuerungen abseits der Sicherheit
Die Oktober-Updates für Windows 11 bringen die Funktionen des September-Vorschauupdates KB5124010 in die Fläche. BleepingComputer hat die vollständige Liste zusammengestellt. Die aus Sicherheitssicht interessanteste Änderung betrifft ausgerechnet den Vorschaubereich des Datei-Explorers: Für aus dem Web heruntergeladene HTML-Dateien gibt es einen neuen Button „Trotzdem Vorschau anzeigen“, andere Dateitypen wie PDFs werden ab sofort automatisch in der Vorschau gerendert. Im selben Monat, in dem ein MOTW-Bypass aktiv angegriffen wird und eine Windows-PDF-RCE bei automatischer Verarbeitung zündet, finde ich das eine fragwürdige Komfortentscheidung. Wer die Vorschau per Gruppenrichtlinie abschaltet, hat dieses Thema nicht.
Darüber hinaus: Emoji 17.0, ein Tipps-Widget, eine Einstellung zum Umbelegen der Copilot-Taste auf Rechts-Strg oder Kontextmenü, die Barrierefreiheitsoption „Apps maximiert öffnen“, neue Touchpad-Gesten, ein Remote-Management-Plug-in für WinRE für MDM-Anbieter, deaktivierte Windows-Tastenkürzel im Kiosk-Modus und eine lange Liste von Bluetooth-Fixes, darunter ein Absturz mit Fehlercode 0x139 beim Streamen. Die PC-zu-PC-Migration ist entfernt worden. Als bekanntes Problem bleibt die seit September bestehende Störung bei USB-Audio-Class-1.0-Geräten; Microsoft hat sie nur teilweise behoben.
Für Windows Server 2025 bringt KB5126646 die Quick Machine Recovery, standardmäßig deaktiviert und per Gruppenrichtlinie zuschaltbar, sowie ML-KEM als Post-Quantum-Schlüsselaustausch in TLS 1.3, cURL 8.21.0 und eine Korrektur für Netlogon-Secure-Channel-Verbindungen zu älteren Domänencontrollern. Alle Server-Versionen erhalten eine ReFS-Überwachung für extern angeschlossene Datenträger (Auditing an, Erzwingung aus, Details in KB5130741) und die automatische Härtung der AD-FS-DKM-Container-ACL gegen CVE-2026-56155, abschaltbar über RemediateDkmAcl. Server 2019 und 2022 bekommen das erweiterte NTLM-Auditing, das zeigt, wer NTLM warum und wo noch verwendet. Für den anstehenden NTLMv1-Abschied ist das die Vorbereitung, die man jetzt starten sollte. Dazu kommen neue Zeitzonen für Manitoba sowie die dauerhafte Sommerzeit in British Columbia und Alberta ab November 2026. Born merkt für Server 2022 und 2025 an, dass WSUS bei Fehlern keine Details zurückmeldet.
Update-Pakete für Windows-Clients und -Server
Die folgende Übersicht fasst die kumulativen Updates dieses Patchdays für die noch unterstützten Windows-Versionen zusammen. Alle Pakete sind kumulativ und enthalten sämtliche Sicherheitsfixes bis zum Patchday.
| Produkt | KB-Nummer | Hinweis |
|---|---|---|
| Windows 11 26H2 / 25H2 / 24H2 | KB5127648 | OS-Builds 26300.9711 / 26200.9711 / 26100.9711; letztes Update für 24H2 Home/Pro |
| Windows 11 26H1 | KB5127646 | OS-Build 28000.3231, Arm-Plattformen |
| Windows 11 23H2 | KB5126653 | OS-Build 22621.7652; nur noch Enterprise / Education, Support-Ende im November |
| Windows 10 22H2 / Enterprise LTSC 2021 | KB5126657 | OS-Builds 19045.7807 / 19044.7807; nur mit ESU-Lizenz bzw. LTSC |
| Windows 10 Enterprise 2019 LTSC | KB5126651 | OS-Build 17763.9376 (auch Windows Server 2019) |
| Windows 10 2016 LTSC | KB5126868 | (auch Windows Server 2016); letztes Update für LTSB 2016 |
| Windows Server 2025 | KB5126646 | |
| Windows Server 2022 | KB5126655 | ab sofort Extended Support |
| Windows Server 2019 | KB5126651 | OS-Build 17763.9376 |
| Windows Server 2016 | KB5126868 | |
| Windows Server 2012 R2 | KB5126836 | letztes ESU-Update |
| Windows Server 2012 | KB5126835 | letztes ESU-Update |
Zu beachten: Windows 10 22H2 ist seit Oktober 2025 aus dem regulären Support; Sicherheitsupdates gibt es nur im ESU-Programm, das Microsoft für Privatanwender kostenlos bis Oktober 2027 verlängert hat. Die .NET-Framework-Updates (siehe CVE-2026-108398) sind eigene Pakete und müssen separat freigegeben werden.
Ausgewählte kritische Sicherheitsupdates vom Patch Tuesday im Oktober 2026
Die folgende Tabelle listet eine Auswahl der wichtigsten Schwachstellen dieses Monats. Die vollständige Liste aller rund 1.400 behobenen CVEs finden Sie im Microsoft Security Update Guide sowie in den Gesamtübersichten bei BleepingComputer, der Zero Day Initiative und bei Action1.
| Tag | CVE ID | CVE Title | Severity |
|---|---|---|---|
| Windows Shell | CVE-2026-96951 | Windows Shell Security Feature Bypass Vulnerability (Zero-Day, aktiv ausgenutzt, MOTW) | Important |
| .NET Framework | CVE-2026-108398 | .NET Framework Security Feature Bypass Vulnerability (Zero-Day, WDAC-Bypass) | Important |
| .NET | CVE-2026-92707 | MessagePack-CSharp Denial of Service Vulnerability (Zero-Day) | Moderate |
| Active Directory Domain Services | CVE-2026-70229 | Windows Active Directory Domain Services Remote Code Execution Vulnerability | Critical |
| Windows DHCP Server | CVE-2026-96934 | Windows DHCP Server Remote Code Execution Vulnerability (CVSS 9,8, Failover-Modus) | Critical |
| Windows DHCP Server | CVE-2026-88117 | Windows DHCP Server Remote Code Execution Vulnerability | Critical |
| Windows DHCP Server | CVE-2026-88119 | Windows DHCP Server Remote Code Execution Vulnerability | Critical |
| Windows DHCP Server | CVE-2026-88120 | Windows DHCP Server Remote Code Execution Vulnerability | Critical |
| Windows DHCP Server | CVE-2026-88171 | Windows DHCP Server Remote Code Execution Vulnerability | Critical |
| Windows DHCP Client | CVE-2026-70250 | Windows DHCP Client Remote Code Execution Vulnerability | Critical |
| Windows DNS | CVE-2026-96113 | Windows Domain Name Service Remote Code Execution Vulnerability | Critical |
| Microsoft QUIC | CVE-2026-100219 | Microsoft QUIC Remote Code Execution Vulnerability (CVSS 9,8) | Critical |
| Microsoft QUIC | CVE-2026-105016 | Microsoft QUIC Remote Code Execution Vulnerability (CVSS 9,8) | Critical |
| Windows Remote Desktop Services | CVE-2026-70187 | Windows Remote Desktop Services Remote Code Execution Vulnerability (RD Gateway) | Critical |
| Windows Hyper-V | CVE-2026-102214 | Windows Hyper-V Remote Code Execution Vulnerability | Critical |
| Windows Hyper-V | CVE-2026-105733 | Windows Hyper-V Remote Code Execution Vulnerability | Critical |
| Windows Hyper-V | CVE-2026-108399 | Windows Hyper-V Elevation of Privilege Vulnerability | Critical |
| Windows Deployment Services | CVE-2026-88174 | Windows Deployment Services Remote Code Execution Vulnerability | Critical |
| Network Device Enrollment Service (NDES) | CVE-2026-69802 | Network Device Enrollment Service (NDES) Remote Code Execution Vulnerability | Critical |
| Windows Message Queuing | CVE-2026-100202 | Windows Message Queuing Queue Manager Remote Code Execution Vulnerability (CVSS 9,8) | Critical |
| Windows Message Queuing | CVE-2026-108460 | Windows Message Queuing Remote Code Execution Vulnerability | Critical |
| Microsoft PostScript Printer Driver | CVE-2026-70147 | Microsoft PostScript Printer Driver Remote Code Execution Vulnerability (CVSS 9,8) | Critical |
| Microsoft PostScript Printer Driver | CVE-2026-70153 | Microsoft PostScript Printer Driver Remote Code Execution Vulnerability (CVSS 9,8) | Critical |
| Windows Text Shaping | CVE-2026-97814 | Windows Text Shaping Remote Code Execution Vulnerability (CVSS 9,8) | Critical |
| Microsoft Windows PDF | CVE-2026-108457 | Microsoft Windows PDF Remote Code Execution Vulnerability (automatische PDF-Verarbeitung) | Critical |
| Windows VBS Enclave | CVE-2026-108471 | Windows Virtualization-Based Security (VBS) Enclave Elevation of Privilege Vulnerability (nur Server 2019 / Win10 1809) | Critical |
| Active Directory Federation Services (AD FS) | CVE-2026-96222 | Active Directory Federation Services (AD FS) Spoofing Vulnerability | Critical |
| Active Directory Federation Services (AD FS) | CVE-2026-108131 | Active Directory Federation Services (AD FS) Spoofing Vulnerability | Critical |
| Microsoft Exchange Server | CVE-2026-70571 | Microsoft Exchange Server Remote Code Execution Vulnerability | Critical |
| Microsoft Exchange Server | CVE-2026-70279 | Microsoft Exchange Server Spoofing Vulnerability (CVSS 9,3, „wichtig“) | Important |
| Microsoft Office SharePoint | CVE-2026-102866 | Microsoft Office SharePoint Elevation of Privilege Vulnerability (nur Subscription Edition) | Critical |
| SQL Server | CVE-2026-65674 | Microsoft SQL Server Remote Code Execution Vulnerability (CVSS 8,8, „wichtig“) | Important |
| Microsoft Office Outlook | CVE-2026-70242 | Microsoft Office Outlook Remote Code Execution Vulnerability (CVSS 9,8, Lesebereich) | Critical |
| Microsoft Office Outlook | CVE-2026-70291 | Microsoft Office Outlook Remote Code Execution Vulnerability (CVSS 9,8, Lesebereich) | Critical |
| Microsoft Office Outlook | CVE-2026-88156 | Microsoft Office Outlook Remote Code Execution Vulnerability (CVSS 9,8, Lesebereich) | Critical |
| Microsoft Office Outlook | CVE-2026-97016 | Microsoft Office Outlook Remote Code Execution Vulnerability (CVSS 9,8, Lesebereich) | Critical |
| Microsoft Office Outlook | CVE-2026-97749 | Microsoft Office Outlook Remote Code Execution Vulnerability (CVSS 9,8, Lesebereich) | Critical |
| Microsoft Office Word | CVE-2026-70300 | Microsoft Office Word Remote Code Execution Vulnerability (CVSS 9,8, Vorschaufenster) | Critical |
| Microsoft Office PowerPoint | CVE-2026-88178 | Microsoft Office PowerPoint Remote Code Execution Vulnerability (CVSS 9,8) | Critical |
| Microsoft Failover Cluster | CVE-2026-88102 | Microsoft Failover Cluster Remote Code Execution Vulnerability (CVSS 9,8, „wichtig“) | Important |
| Microsoft PowerShell | CVE-2026-83578 | Microsoft PowerShell Remote Code Execution Vulnerability (CVSS 9,8, „wichtig“) | Important |
| OpenSSH for Windows | CVE-2026-97816 | Microsoft OpenSSH for Windows Remote Code Execution Vulnerability (CVSS 9,8, „wichtig“) | Important |
Hinweis: Diese Tabelle stellt eine kuratierte Auswahl dar und erhebt keinen Anspruch auf Vollständigkeit. Maßgeblich ist stets der offizielle Microsoft Security Update Guide.