Microsoft Patch Tuesday Oktober 2026: 1.411 Lücken behoben

Mit dem Patch Tuesday im Oktober 2026 (dem regelmäßigen monatlichen Sicherheitsupdate des Konzerns) schließt Microsoft 1.411 Sicherheitslücken, ein neuer Rekord. Drei davon sind Zero-Days: Eine wird bereits aktiv ausgenutzt, zwei weitere wurden öffentlich bekannt, bevor es einen Fix gab.

Siebzig der Fehler gelten als "kritisch". Davon ermöglichen 57 das Ausführen von Schadcode aus der Ferne, 11 eine Ausweitung von Rechten und 2 sind Spoofing-Probleme.

Nach Kategorien aufgeschlüsselt umfasst das Update rund 677 Lücken zur Rechteausweitung, 317 zur Remotecodeausführung, 254 Fehler mit Offenlegung von Informationen, 73 Denial-of-Service-Probleme, 40 Umgehungen von Sicherheitsfunktionen und 28 Spoofing-Schwachstellen.

Nicht mitgezählt sind 348 Lücken, die Microsoft bereits früher im Monat behoben hat. Sie betrafen Dienste und Produkte wie Azure App Service, Azure Event Grid, Azure SRE Agent, Microsoft Dataverse und Microsoft Exchange Server. Laut BleepingComputer fällt die Rekordzahl in eine Zeit, in der Microsoft verstärkt KI-Plattformen einsetzt, um Schwachstellen in seiner Software aufzuspüren und zu beheben.

Endstation für einige Windows-Editionen

Microsoft bestätigte außerdem, dass Windows 11 Version 24H2 Home und Pro sowie Windows 10 Enterprise LTSB 2016 keinen Support mehr erhalten.

"Das monatliche Sicherheitsupdate vom Oktober 2026 ist das letzte Update, das für diese Editionen verfügbar ist", erklärte das Unternehmen.

Bereits Anfang Oktober hatte Microsoft gewarnt, dass Windows 11 23H2 Enterprise, Education und IoT Enterprise ab dem kommenden Monat keine Sicherheitsupdates mehr bekommen. Organisationen, die diese Editionen nutzen, wird ein Upgrade empfohlen.

Der aktiv ausgenutzte Zero-Day

Die aktiv ausgenutzte Lücke CVE-2026-96951 ist eine Umgehung einer Sicherheitsfunktion in der Windows Shell. Angreifer können damit Mark of the Web aushebeln, also die Windows-Funktion, die aus dem Internet heruntergeladene Dateien kennzeichnet, damit sie vorsichtiger behandelt werden.

Microsoft beschreibt das Problem als Befehlsinjektion, die "es einem nicht autorisierten Angreifer ermöglicht, eine Sicherheitsfunktion über ein Netzwerk zu umgehen". Wie die Lücke bei Angriffen genutzt wurde und wer sie gemeldet hat, verrät das Unternehmen nicht.

Zwei öffentlich bekannte Fehler

Der erste öffentlich bekannte Zero-Day, CVE-2026-108398, betrifft das .NET Framework. Es handelt sich um ein Problem mit einem nicht vertrauenswürdigen Suchpfad, über das sich Windows Defender Application Control (WDAC) umgehen lässt, also die Windows-Funktion, die festlegt, welche Anwendungen ausgeführt werden dürfen.

"Ein authentifizierter Angreifer könnte eine speziell präparierte .NET-Assembly auf einem betroffenen System ablegen und sie so registrieren, dass sie von einem geschützten Prozess geladen wird", erläuterte Microsoft. Bei einem erfolgreichen Angriff könnte der Angreifer Code innerhalb des geschützten Prozesses ausführen, eine Interaktion des Nutzers ist dafür nicht nötig. Entdeckt hat die Lücke James Forshaw von Google Project Zero.

Die zweite, CVE-2026-92707, ist ein Denial-of-Service-Fehler in MessagePack-CSharp. Durch eine unzureichend kontrollierte Speicherzuweisung in .NET kann ein nicht authentifizierter Angreifer einen Dienst über das Netzwerk lahmlegen. Wer den Fehler offengelegt hat, nannte Microsoft nicht.

Lücken gebündelt in "Risikokohorten"

Angesichts des Umfangs dieses Updates testet Microsoft einen neuen Ansatz, der Administratoren bei der Entscheidung helfen soll, was zuerst gepatcht werden muss. Dabei werden zusammengehörige Schwachstellen in "Risikokohorten" gruppiert, für Oktober hat das Unternehmen 15 davon veröffentlicht.

Die größten Kohorten betreffen Windows-Dateisysteme, Speicher und Datensicherung (136 Lücken), Office-Dokumente und Mailprogramme (135), Grafik, Medien und Inhaltsverarbeitung unter Windows (131), Rechtegrenzen im Windows-Kern und -Kernel (109) sowie Installations-, Bereitstellungs- und Updatedienste von Windows (103).

Microsoft betonte, dass eine Kohorte keine Aussage darüber trifft, welche Lücken am gefährlichsten sind. Das tatsächliche Risiko hängt weiterhin von aktiver Ausnutzung, Schweregrad und davon ab, wie eine Organisation die jeweilige Software einsetzt. Das Unternehmen bezeichnet den Ansatz als experimentell und betont, dass er die bisherigen Empfehlungen ergänzt und nicht ersetzt.

Andere Hersteller in diesem Monat

Microsoft war nicht allein. Fortinet, Ivanti und SonicWall haben allesamt Lücken geschlossen, die von Angreifern ausgenutzt wurden, und Citrix hat einen Zero-Day in NetScaler mit der Kennung CVE-2026-88779 behoben. Auch Adobe, Atlassian, Cisco, Dell, Docker, GitLab, Kiteworks, Progress Software und SAP haben Sicherheitsupdates veröffentlicht.

Unsere Einschätzung

Mehr als 1.400 Fixes an einem einzigen Tag sind für jedes Patch-Team eine schwere Last, und der Sprung von 966 Lücken im September deutet darauf hin, dass die KI-gestützte Fehlersuche inzwischen Ergebnisse in einem Ausmaß liefert, mit dem die Hersteller beim Verpacken kaum noch hinterherkommen. Das Experiment mit den Risikokohorten liest sich wie ein Eingeständnis, dass reine Zahlen und Schweregrade den Verteidigern allein kaum noch weiterhelfen.

Die dringendste Aufgabe ist dennoch klar: Die Umgehung von Mark of the Web wird aktiv ausgenutzt, und ähnliche Umgehungen wurden in der Vergangenheit oft mit Phishing-Ködern kombiniert. Auch die Support-Enden verdienen Aufmerksamkeit, vor allem in Verbindung mit dem Ablauf des Windows-Update-Zertifikats, der ältere Rechner treffen wird. Es lohnt sich zu beobachten, ob die monatlichen Zahlen weiter steigen und ob sich Microsofts Kohorten als so nützlich erweisen, dass sie fester Bestandteil der Empfehlungen werden.