Microsoft Patchday Oktober 2026: Rekord mit 1.413 Sicherheitslücken
Der Oktober-Patchday 2026 fällt bei Microsoft alles andere als klein aus. Insgesamt wurden 1.413 Sicherheitslücken geschlossen – so viele wie noch nie bei einem einzelnen Patchday.
Die nackte Zahl ist beeindruckend, aber für Administratoren ist etwas anderes wesentlich wichtiger: Unter den behobenen Schwachstellen befindet sich mindestens eine Lücke, die bereits aktiv ausgenutzt wird.
Genau deshalb würde ich diesen Patchday nicht einfach unter „ungewöhnlich viele Updates“ abhaken.
1.413 Schwachstellen in einem Monat
Die von Microsoft veröffentlichten Korrekturen verteilen sich auf zahlreiche Produkte.
Besonders betroffen sind:
- Windows: 1.102 Schwachstellen
- Microsoft Office: 134 Schwachstellen
- Developer Tools: 61 Schwachstellen
- SharePoint Server: 36 Schwachstellen
- SQL Server: 22 Schwachstellen
Mehr als 670 Sicherheitslücken ermöglichen laut Einstufung eine Ausweitung von Berechtigungen.
Hinzu kommen:
- mehr als 300 Remote-Code-Execution-Schwachstellen
- rund 250 Information-Disclosure-Lücken
- mehr als 70 als kritisch eingestufte Schwachstellen
Das sind Zahlen, bei denen man als Administrator erstmal kurz überprüft, ob man sich nicht um eine Stelle verlesen hat.
Hat man leider nicht.
Die reine Anzahl sagt allerdings nicht alles
Bei über 1.400 CVEs könnte man schnell in Versuchung geraten, einfach alles möglichst hektisch zu installieren.
Das ist verständlich, aber nicht unbedingt die beste Strategie.
Sicherheitsforscher weisen inzwischen selbst darauf hin, dass hohe CVE-Zahlen immer mehr zum Normalfall werden. Automatisierte Analyseverfahren und KI-gestützte Werkzeuge helfen sowohl Herstellern als auch Sicherheitsforschern dabei, Schwachstellen schneller zu entdecken.
Die spannendere Frage lautet deshalb nicht:
Wie viele Lücken gibt es?
Sondern:
Welche davon werden bereits ausgenutzt und welche sind für meine Systeme tatsächlich relevant?
Gerade in größeren Umgebungen wird eine vernünftige Priorisierung immer wichtiger.
Windows-Shell-Lücke wird bereits aktiv ausgenutzt
Besonders dringend ist CVE-2026-96951.
Die Schwachstelle betrifft die Windows Shell und erreicht einen CVSS-Wert von 8,8.
Microsoft bestätigt, dass die Lücke bereits in realen Angriffen ausgenutzt wird.
Ein erfolgreicher Angriff kann unter anderem Schutzmechanismen rund um Mark of the Web, kurz MOTW, umgehen.
Dieser Mechanismus kennzeichnet Dateien, die beispielsweise aus dem Internet oder aus E-Mail-Anhängen stammen, als potenziell unsicher.
Genau diese Schutzwirkung kann die Schwachstelle umgehen.
Angreifer müssen den Nutzer trotzdem überzeugen
Nach den vorliegenden Informationen kann ein Angreifer die Schwachstelle beispielsweise über eine speziell präparierte Datei ausnutzen.
Dazu müsste das Opfer allerdings eine Aktion durchführen.
Denkbar wären etwa:
- ein schädlicher Anhang
- eine präparierte Datei
- ein Link auf eine Angreifer-Webseite
Der Angreifer kann die Ausnutzung also nicht einfach vollständig ohne Mitwirkung des Benutzers erzwingen.
Das macht die Lücke aber keineswegs harmlos.
Gerade E-Mail-Anhänge und manipulierte Downloads gehören schließlich seit Jahren zu den beliebtesten Angriffswegen.
CISA setzt kurze Frist
Auch die amerikanische Cybersecurity and Infrastructure Security Agency, kurz CISA, stuft die Schwachstelle als relevant ein.
CVE-2026-96951 wurde in den Katalog der Known Exploited Vulnerabilities aufgenommen.
US-Bundesbehörden sollen die Sicherheitsupdates bereits bis zum 16. Oktober 2026 installieren.
Allein dieser Zeitraum zeigt ziemlich deutlich, wie ernst die Lücke genommen wird.
Für Unternehmen würde ich das Update deshalb ebenfalls sehr weit oben auf die Prioritätenliste setzen.
Auch .NET Framework ist betroffen
Eine weitere interessante Schwachstelle betrifft das .NET Framework.
Die betreffende Lücke wird mit einem CVSS-Wert von 8,8 geführt und war zum Zeitpunkt der Update-Veröffentlichung bereits öffentlich bekannt.
Ein authentifizierter Angreifer könnte eine speziell präparierte .NET-Assembly auf einem System platzieren und sie durch einen geschützten Prozess laden lassen.
Dadurch könnte es möglich werden, Einschränkungen von Windows Defender Application Control, kurz WDAC, zu umgehen.
Das ist vor allem als Angriffstechnik nach einer bereits erfolgten Kompromittierung interessant.
Der Angreifer benötigt also zunächst lokalen Zugriff.
Hat er diesen jedoch bereits, könnte die Schwachstelle helfen, weitere Sicherheitsbarrieren zu überwinden.
Kritische RAW-Bild-Lücke mit CVSS 9,8
Sehr interessant ist außerdem CVE-2026-21413.
Die Schwachstelle betrifft die Raw Image Extension und wird mit einem CVSS-Wert von 9,8 bewertet.
Dabei handelt es sich um einen Heap-basierten Buffer Overflow, der im schlimmsten Fall Remote Code Execution ermöglichen kann.
Und hier wird es unangenehm:
Ein Benutzer muss die manipulierte Bilddatei offenbar nicht einmal bewusst öffnen.
Es kann bereits ausreichen, einen Ordner aufzurufen, in dem sich eine entsprechend präparierte RAW-Datei befindet.
Windows könnte beim Erzeugen des Vorschaubildes beziehungsweise Thumbnails bereits die anfällige Komponente ansprechen.
Das ist genau die Art von Schwachstelle, die mir nicht gefällt.
„Datei nicht öffnen“ reicht dann als Sicherheitsstrategie nämlich nicht unbedingt aus.
Mehr als 4.000 Microsoft-CVEs im Jahr 2026
Der Oktober ist kein Ausreißer in dem Sinne, dass die Monate davor ruhig gewesen wären.
Bereits im September hatte Microsoft laut den vorliegenden Zahlen fast 1.000 Sicherheitslücken geschlossen.
Über das gesamte Jahr 2026 sollen inzwischen mehr als 4.000 CVEs von Microsoft gepatcht worden sein.
Das zeigt ziemlich gut, wie stark sich die Sicherheitsforschung verändert.
Mehr Automatisierung bedeutet nicht zwangsläufig, dass Software plötzlich dramatisch schlechter geworden ist.
Es bedeutet auch, dass Fehler schneller gefunden werden.
Und ehrlich gesagt ist mir eine gefundene und gepatchte Schwachstelle deutlich lieber als eine, die jahrelang unentdeckt bleibt.
KI verändert auch die Schwachstellensuche
Der massive Anstieg bei den gemeldeten Schwachstellen dürfte zumindest teilweise mit KI-gestützten Analyseverfahren zusammenhängen.
KI findet nicht plötzlich Fehler, die vorher nicht existiert hätten.
Sie kann aber dabei helfen:
- Code schneller zu analysieren
- verdächtige Muster zu erkennen
- Varianten bereits bekannter Schwachstellen zu finden
- große Codebasen automatisiert zu durchsuchen
Damit steigt die Geschwindigkeit sowohl auf Seiten der Hersteller als auch bei Sicherheitsforschern.
Natürlich gilt dasselbe auch für Angreifer.
Das Rennen wird also nicht unbedingt einfacher.
Es wird nur schneller.
Microsoft führt „Risk Cohorts“ ein
Passend zu den immer größeren Patchdays führt Microsoft nun ein neues Konzept namens Risk Cohorts ein.
Dabei werden CVEs zu Gruppen zusammengefasst, die eine ähnliche Bewertung durch Kunden erfordern.
Das soll Unternehmen helfen, schneller zu entscheiden, welche Updates zuerst installiert werden sollten.
Microsoft betont allerdings selbst, dass diese Gruppen nur ein Ausgangspunkt sind.
Administratorinnen und Administratoren sollten weiterhin prüfen:
- Wird die Schwachstelle aktiv ausgenutzt?
- Wie hoch ist die Schwere?
- Ist ein Angriff aus der Ferne möglich?
- Ist Benutzerinteraktion notwendig?
- Welche Produkte sind tatsächlich im eigenen Unternehmen betroffen?
Das klingt banal, ist bei 1.413 Schwachstellen aber wichtiger denn je.
Mein Eindruck
Die Zahl 1.413 ist natürlich spektakulär.
Für den praktischen Betrieb würde ich mich davon aber nicht verrückt machen lassen.
Niemand kann 1.413 Sicherheitslücken einzeln mit derselben Priorität behandeln.
Viel wichtiger ist eine saubere Reihenfolge.
Aktiv ausgenutzte Schwachstellen gehören nach oben.
Danach kommen öffentlich bekannte Lücken, kritische Remote-Code-Execution-Schwachstellen und Fehler in besonders exponierten Systemen.
Dann kann man sich dem Rest widmen.
Gerade der Oktober-Patchday zeigt für mich ziemlich gut, warum Patchmanagement inzwischen mehr ist als:
„Microsoft hat Updates veröffentlicht – installieren wir halt alles.“
Man muss wissen, was wirklich dringend ist.
Was Administratoren jetzt tun sollten
Ich würde den Oktober-Patchday zeitnah testen und ausrollen.
Besondere Aufmerksamkeit verdienen dabei:
CVE-2026-96951, weil die Windows-Shell-Schwachstelle bereits aktiv ausgenutzt wird.
Die öffentlich bekannte .NET-Lücke, weil sie WDAC-Schutzmechanismen umgehen kann.
Und CVE-2026-21413 in der Raw Image Extension aufgrund ihrer hohen Bewertung und der möglichen Auslösung bereits bei der Vorschauerstellung.
In Unternehmen gilt natürlich weiterhin:
Erst Pilotgruppe.
Dann kontrollierter Rollout.
Aber bei aktiv ausgenutzten Sicherheitslücken sollte die Pilotphase eben nicht drei Wochen dauern.
Fazit
Microsoft liefert im Oktober 2026 Sicherheitsupdates für insgesamt 1.413 Schwachstellen aus und stellt damit einen neuen Patchday-Rekord auf.
Mehr als 70 Lücken werden als kritisch eingestuft.
Besonders wichtig ist die Windows-Shell-Schwachstelle CVE-2026-96951, die nach Angaben von Microsoft bereits aktiv ausgenutzt wird.
Hinzu kommen öffentlich bekannte Schwachstellen und eine kritische Sicherheitslücke in der Raw Image Extension.
Die enorme Zahl an CVEs wirkt zunächst erschlagend.
Für mich ist die wichtigste Erkenntnis aber eine andere:
Nicht die Menge entscheidet über die Dringlichkeit – sondern die Frage, welche Lücke gerade tatsächlich jemand ausnutzt.
Und davon gibt es diesen Monat mindestens eine, bei der ich mit dem Patchen nicht lange warten würde.