Am 13. Oktober 2026 hat Microsoft das letzte Sicherheitsupdate für Windows 11 24H2 Home und Pro veröffentlicht (borncity.com). Am selben Tag fallen Windows Server 2012 und 2012 R2 aus dem Extended Security Update-Programm, und Microsoft Office 2021 verliert seinen Support. Dasselbe Update schließt 1.413 Sicherheitslücken, eine davon wird bereits aktiv ausgenutzt.

Wer in einem Betrieb mit 10 bis 100 Arbeitsplätzen noch Windows 11 24H2 auf den Rechnern hat, bekommt ab sofort keine Sicherheitsupdates mehr. Das betrifft jede Maschine, auf der noch Office 2021 läuft. Und wer einen Windows Server 2012 oder 2012 R2 im Abstellraum stehen hat – in Betrieben dieser Größe keine Seltenheit – der hat jetzt ein System, das weder gepatcht wird noch je wieder gepatcht wird. Die praktisch relevanteste Lücke aus dem Oktober-Patchday ist CVE-2026-96951: Eine präparierte Datei umgeht die „Mark of the Web"-Warnung, die Windows bei Downloads aus dem Internet anzeigt. Der Anwender klickt, die Datei öffnet sich, und die Schutzfunktion, die genau dafür da ist, bleibt still.

Was im Oktober-Update konkret drin steht

Die aktiv ausgenutzte Lücke CVE-2026-96951 (CVSS 8.8) beruht auf einer Command Injection in der Windows Shell. Die US-Behörde CISA hat sie am 13. Oktober in ihren Katalog bekannter ausgenutzter Schwachstellen aufgenommen; die Frist für US-Bundesbehörden lief am 16. Oktober. (security-insider.de)

Für Outlook schließt Microsoft fünf kritische Lücken mit jeweils CVSS 9.8, darunter CVE-2026-70242. Hier genügt eine präparierte E-Mail in der Vorschau – kein Klick, kein Anhang öffnen. (codekunst-systems.com)

Auf Serverseite bringt KB5126655 Windows Server 2022 auf Build 20348.5761 und erweitert die NTLM-Protokollierung: Die Ereignis-IDs 4020 bis 4023 zeigen jetzt, welcher Computer eine NTLM-Anmeldung auslöst und warum. KB5126646 für Server 2025 (Build 26100.33650) führt Quick Machine Recovery ein und ergänzt Post-Quantum-Schlüsselaustausch ML-KEM in TLS 1.3. (windows-faq.de)

Zusätzlich aktiviert Microsoft mit dem Oktober-Update die Speicherintegrität (HVCI) auf Bestandsgeräten, die von Windows 10 hochgezogen wurden. Wurde die Funktion bewusst per Gruppenrichtlinie oder Intune deaktiviert, bleibt diese Entscheidung bestehen. Alte Drucker-, VPN- oder Dongle-Treiber, die bisher still mitgelaufen sind, können nach dem Update blockiert werden.

Was jetzt zu tun ist

1. Prüfen, welche Windows-Version auf jedem Arbeitsplatz läuft: winver in die Windows-Suche tippen, Buildnummer ablesen. Windows 10 2016 LTSC Enterprise ist komplett aus dem Support gefallen.
2. Die Oktober-Updates ausrollen, insbesondere auf den Rechnern, die Outlook und Exchange nutzen. CVE-2026-96951 und CVE-2026-70242 sind die Priorität. Vorher auf einem Testrechner prüfen, ob Drucker-, VPN- oder Dongle-Treiber mit der neuen Speicherintegrität zurechtkommen.
3. Windows Server 2012/2012 R2 und Office 2021 inventarisieren. Beide haben keine Updates mehr. Für den Server heißt das: migrieren, abschalten oder zumindest im Netz segmentieren und Zugriffe beschränken. Für Office 2021: Umstieg auf Microsoft 365 oder Office LTSC 2024 einplanen.

Das Ärgerliche an Support-Enden: Man merkt es erst, wenn die nächste Lücke kommt und das Update dafür fehlt. Wer jetzt unsicher ist, ob die eigenen Rechner sauber gepatcht sind oder ein Server 2012 noch irgendwo im Keller läuft, hat damit schon die richtige Frage gestellt. Wir schauen uns das konkret an – von der Version auf dem Desktop bis zum Server im Abstellraum – und sagen Ihnen, was noch geht und was nicht. Einfach hier melden: saarluxit.com/kontakt.

Beitragsbild: Polina Zimmerman auf Pexels