Microsoft hat am 15. Oktober 2026 mit 1.413 geschlossenen Sicherheitslücken einen neuen Rekord aufgestellt – 78 davon stuft der Hersteller als kritisch ein. Eine Schwachstelle in der Windows-Shell, CVE-2026-96951, wird bereits von Angreifern ausgenutzt, um die Download-Warnung zu umgehen. Wie security-insider.de berichtet, hat die US-Behörde CISA die Lücke am 13. Oktober in ihren Katalog bekannter ausgenutzter Schwachstellen aufgenommen.

Für einen Betrieb mit 20 bis 80 Arbeitsplätzen bedeutet das konkret: Die ausgenutzte Lücke betrifft Windows 10 und 11 sowie mehrere Server-Versionen. Ein Angreifer legt eine präparierte Datei ab oder verschickt einen Link – wer sie öffnet, umgeht die Mark of the Web, also die Warnung, die Windows normalerweise vor Dateien aus dem Internet anzeigt. Im schlechtesten Fall läuft dann Schadcode, ohne dass der Nutzer eine Sicherheitsmeldung sieht. Dazu kommen fast 60 als wurmfähig eingestufte Lücken, die sich laut security-insider.de über das Netz ausbreiten lassen, ohne dass jemand am Rechner sitzt. Wer Exchange, Active Directory oder SharePoint betreibt, hat zusätzlich kritische Schwachstellen ohne Anmeldung aus der Ferne erreichbar.

Die technischen Details im Überblick

CVE-2026-96951 (CVSS 8.8) ist eine Command Injection in der Windows-Shell: Sonderzeichen in einem Befehl werden nicht neutralisiert, was die MotW-Umgehung ermöglicht. CVE-2026-108398 (CVSS 8.8) betrifft das .NET Framework – ein angemeldeter Angreifer kann über eine präparierte Assembly Windows Defender Application Control umgehen. CVE-2026-92707 (CVSS 5.3) in der Bibliothek MessagePack-CSharp erlaubt einen Remote-Denial-of-Service.

Unter den wurmfähigen Lücken stechen vier mit CVSS 9.8 hervor: CVE-2026-96934 im DHCP-Server, CVE-2026-100219 und CVE-2026-105016 in Microsoft QUIC sowie CVE-2026-97814 in Windows Text Shaping. Beim Network Policy Server erreichen CVE-2026-100222 (Heap-Pufferüberlauf) und CVE-2026-85806 (Integer-Unterlauf) ebenfalls 9.8, werden von Microsoft aber nur als „wichtig" eingestuft. In Outlook schließt der Hersteller fünf kritische Lücken mit je CVSS 9.8 – CVE-2026-70242, CVE-2026-70291, CVE-2026-97016, CVE-2026-88156 und CVE-2026-97749. Eine präparierte Mail startet Code, sobald Outlook sie im Lesebereich anzeigt, noch bevor der Empfänger sie öffnet. Für Exchange Server (CVE-2026-70571, CVSS 8.1) und die Active Directory Domain Services (CVE-2026-70229, CVSS 8.1) hält Microsoft eine Ausnutzung für wahrscheinlicher.

Zur Verteilung: Für Windows 11 24H2, 25H2 und 26H2 steht das kumulative Update KB5127648 bereit, für Windows 10 im ESU-Programm KB5126657. Der September lag bei 974 geschlossenen Lücken – security-insider.de nennt 999 – im Oktober stieg die Zahl um 45 Prozent. ComputerBase verweist darauf, dass im gesamten Jahr 2023 nur 914 CVEs geschlossen wurden – weniger als jetzt in einem Monat. Microsoft führt die hohe Schließrate auf den Einsatz moderner KI-Tools zurück, mit denen Lücken erkannt und Patches entwickelt werden.

Was jetzt zu tun ist

1. Das Shell-Update für CVE-2026-96951 als Erstes verteilen. CISA hat die Frist für US-Bundesbehörden auf den 16. Oktober 2026 gesetzt – für einen deutschen Betrieb gilt: je schneller, desto besser. Prüfen Sie im Windows-Update-Log, ob KB5127648 (bzw. KB5126657 für Windows 10 ESU) auf allen Arbeitsplätzen und Servern installiert ist.
2. Die Office-Updates gleich im Anschluss einspielen, insbesondere die fünf Outlook-Lücken.
3. Prüfen, welche Windows-Versionen im Haus laufen. Für Windows 11 24H2 Home und Pro ist der Oktober das letzte reguläre Sicherheitsupdate. Wer noch darauf sitzt, sollte jetzt auf 25H2 oder 26H2 wechseln, um weiterhin Patches zu erhalten.

Das Ärgerliche an einer MotW-Umgehung: Man merkt sie erst, wenn die Datei schon offen ist und der Code läuft. Die Warnung, die einen normalerweise vor dem Klick bewahrt, existiert in dem Moment schlicht nicht mehr.

Wer unsicher ist, ob die Patches auf allen Maschinen wirklich durchgegangen sind – oder ob noch ein Windows 11 24H2 in der Ecke steht, das seit Wochen kein Update mehr bekommt, meldet sich einfach. Wir schauen uns das gern einmal an: Kontakt aufnehmen.

Beitragsbild: Jep Gambardella auf Pexels