Microsofts Patchday im Oktober 2026 stellt mit 1.407 Korrekturen einen Rekord auf

Microsofts Sicherheitsupdates für Oktober 2026 erschienen am 13. Oktober mit dem größten Paket an Korrekturen, das das Unternehmen je in einem einzigen Monat ausgeliefert hat. Tenable zählte 1.407 CVEs: 69 als kritisch eingestuft, 1.337 als wichtig und eine als niedrig. CrowdStrike bezifferte die Gesamtzahl auf 1.413, mit 75 kritischen. Es ist der zweite Monat in Folge, der den Rekord aufstellt, und der zweite in Folge, der Verteidigern mehr Arbeit auflädt, als ein Monatszyklus tragen sollte.

Zum Weiterlesen: Microsofts Rekord-Patchday: 974 Schwachstellen, zwei bereits ausgenutzt · Microsofts August-Patch-Day behob rund 400 Schwachstellen – und ein echtes Feuer.

Die Zahl, die am meisten zählt, ist viel kleiner. Eine Lücke in dieser Veröffentlichung wurde aktiv ausgenutzt, bevor ein Patch existierte: CVE-2026-96951, eine Umgehung einer Windows-Shell-Sicherheitsfunktion mit einem CVSSv3-Score von 8,8. Eine zweite, CVE-2026-108398, eine Umgehung einer .NET-Framework-Sicherheitsfunktion, wurde öffentlich bekanntgegeben, bevor ein Fix fertig war. Klärt man diese beiden, wird der Rest der Liste zu einer Sortierübung statt zu einem Notfall.

Was eine Umgehung einer Sicherheitsfunktion bewirkt

Windows versieht Dateien, die aus dem Internet eintreffen, mit einem Metadatenelement namens Mark of the Web. Diese Kennzeichnung ist der Grund, warum Outlook einen heruntergeladenen Anhang in der geschützten Ansicht öffnet statt ihn auszuführen, und warum Windows fragt, bevor ein aus dem Web geholter Installer läuft. Die Kennzeichnung ist eine Sicherheitsfunktion und funktioniert, indem sie eine Bezeichnung an die Datei anhängt.

Eine Umgehung reißt keine Mauer ein. Sie entfernt die Bezeichnung, die Windows zur Vorsicht bei der Datei veranlasst hätte. Bei CVE-2026-96951 nutzt ein Angreifer laut Microsoft Social Engineering per E-Mail oder Nachricht, um ein Ziel zum Öffnen einer schädlichen Datei zu bewegen. Mit dem Öffnen rutscht die Datei an der Mark-of-the-Web-Prüfung vorbei, sodass Windows sie als lokal und vertrauenswürdig behandelt. Der Klick des Opfers ist der Angriff; die Umgehung zählt nur, wenn jemand die Datei öffnet.

Deshalb können Fehler dieser Art gefährlicher sein, als ihre Scores nahelegen. Ein Remote-Code-Execution-Fehler kann von einem Scanner erreicht werden, der nie um Erlaubnis bittet. Eine Umgehung wartet auf einen Menschen. CVE-2026-96951 ist die dritte im Jahr 2026 aktiv ausgenutzte Windows-Shell-Lücke, nach CVE-2026-21510, im Februar geschlossen, und CVE-2026-32202, im April geschlossen. Drei in zehn Monaten sind eine Rate, die man verfolgen sollte.

Das zweite Zero-Day greift eine ähnliche Idee in einer anderen Ebene an. CVE-2026-108398 ist eine Umgehung einer .NET-Framework-Sicherheitsfunktion, ebenfalls mit 8,8 bewertet. Ein Angreifer registriert eine schädliche .NET-Assembly, sodass ein geschützter Prozess sie lädt, was die Windows Defender Application Control aushebelt, den Mechanismus, der einschränkt, welcher Code laufen darf. Sie wurde öffentlich bekanntgegeben, bevor ein Patch verfügbar war, daher unterscheidet sich ihr Status von der Shell-Lücke: Offenlegung ist nicht dasselbe wie bestätigte Ausnutzung.

Warum die Zahl weiter steigt

Die Differenz zwischen Tenables 1.407 und CrowdStrikes 1.413 ist eine Klassifizierungslücke, kein Streit über das Ausmaß. Die Firmen ziehen die Grenze einer Monatsveröffentlichung an unterschiedlichen Stellen und gruppieren zusammengehörige CVEs unterschiedlich. Rapid7 bezifferte den reinen Windows-Anteil auf 1.102. Die Updates betrafen 301 Produkte und Komponenten, was für sich genommen ein Maß dafür ist, wie breit die Veröffentlichung reicht.

Die Zusammensetzung sagt mehr als die Gesamtzahl. Nach Wirkung machten Rechteausweitungsfehler 47,9 % der geschlossenen CVEs aus und Remote-Code-Execution 22,3 %. Die Produkte mit den meisten CVEs waren Microsoft Office Excel mit 69, die DNS-Server-Rolle mit 52 und der Windows-Kernel mit 46.

Rechteausweitungsfehler setzen in der Regel voraus, dass ein Angreifer bereits im Netzwerk ist, weshalb sie meist als zweite Stufe dienen, sobald jemand einen Zugang hat. Die Remote-Code-Execution-Fehler sind die, die die Tür öffnen, und der Oktober hat mehrere, die Aufmerksamkeit verdienen. Die Warnung des belgischen CCB beginnt ihre Zusammenfassung mit den 69 kritischen Korrekturen in der Veröffentlichung. Darunter: CVE-2026-70229, ein Remote-Code-Execution-Fehler in Windows Active Directory Domain Services mit einem CVSS-Score von 8,1, den Microsoft als „Exploitation More Likely“ kennzeichnet; CVE-2026-70571, ein Remote-Code-Execution-Fehler in Exchange Server mit CVSS 8,1; und CVE-2026-70279, ein Spoofing-Fehler in Exchange Server mit einem Score von 9,3.

Die praktische Folge ist, dass eine einzige ranggeordnete Liste unbrauchbar wird. Ein Team, das die Schwere von oben nach unten abarbeitet, verbringt seine Woche mit symbolischen Korrekturen, während die fehlerhafte Komponente, die tatsächlich erreichbar ist, unangetastet bleibt. Eine Triagierung nach Exposition stellt einen engeren Satz an Fragen: Ist der betroffene Dienst aus dem Internet erreichbar, betreibt die Organisation das Produkt überhaupt, und hat jemand den Fehler in einem Angriff beobachtet. Für die meisten der 1.407 lautet die ehrliche Antwort, dass sie in einer gegebenen Umgebung nicht erreichbar sind. Deshalb sind die Zahl und der Arbeitsaufwand nicht dieselbe Zahl.

„Wer allein nach der CVE-Zahl statt nach Ausnutzbarkeit triagiert, verbrennt Zyklen mit den falschen Fehlern. Patchen Sie, was bewiesen, priorisiert und öffentlich ist, und behandeln Sie alles andere als die neue Normalität dieses Monats.“ — Zero Day Initiative, The October 2026 Security Update Review, 13. Oktober 2026

Microsofts Experiment „Risikokohorten“

Angesichts der Menge führte Microsoft im Oktober eine neue Bezeichnung ein: Risikokohorten. Die Versionshinweise des Unternehmens beschreiben sie als explorative Möglichkeit, Kunden bei der Strukturierung ihrer eigenen Analyse zu helfen. Microsoft sagt außerdem, sie seien keine offiziellen Schwachstellenkategorien, änderten Microsofts Update-Empfehlungen nicht und ersetzten nicht die Bewertung einzelner CVEs.

Nehmen Sie diese Einordnung wörtlich. Eine Kohorte ist ein Ausgangspunkt für die eigene Triagierung eines Verteidigers, keine Schwereeinstufung, gegen die man patcht. Der Begriff „explorativ“ ist Microsofts Art zu sagen, dass die Idee getestet wird und die Empfehlungen darunter sich nicht geändert haben. Teams, die die Funktion übernehmen, sollten sie als einen Input unter mehreren behandeln und nicht annehmen, sie habe die Ausnutzbarkeitsbewertungen ersetzt, die Microsoft seit Jahren vergibt.

Eine Lebenszyklus-Frist am selben Tag

Nicht alles, was am 13. Oktober geschah, drehte sich um Schwachstellen. Dasselbe Datum markierte das Ende des letzten Jahres der erweiterten Sicherheitsupdates für Windows Server 2012 und 2012 R2, das Ende des Mainstream-Supports für Windows Server 2022 und das Ende des Supports für Office 2021 und mehrere andere Produkte.

Für alle, die noch Windows Server 2012 oder 2012 R2 betreiben, ist die Folge unmittelbar. Diese Systeme wurden mit erweiterten Sicherheitsupdates am Leben gehalten, und das letzte dieser Jahre ist nun abgelaufen. Künftige Patchdays werden keine Korrekturen für sie enthalten, sodass jeder Monat Exposition ohne Gegenmittel hinzufügt. Windows Server 2022 und Office 2021 stehen an einem anderen Punkt: Der Wegfall des Mainstream-Supports ändert die Art des Supports, den sie erhalten, und ihre Sicherheitsversorgung läuft nach eigenem Zeitplan weiter. Die Überschneidung ist an einem Tag, der von einer vierstelligen CVE-Zahl beherrscht wird, leicht zu übersehen, und sie hat den längeren Schwanz.

Die operative Realität

Microsofts Versionshinweise bleiben der Ausgangspunkt, doch eine Veröffentlichung dieser Größe verlagert das eigentliche Sortieren in unabhängige Analysen. Tenable, CrowdStrike, die Zero Day Initiative und nationale Stellen wie das belgische CCB veröffentlichen alle innerhalb eines Tages ihre eigene Sicht, und jede hebt eine etwas andere Auswahlliste hervor. Für ein kleines Sicherheitsteam liegt in der Überschneidung das nützliche Signal: Wenn mehrere Tracker dieselbe Handvoll Lücken nennen, sind das die, die zuerst einzuplanen sind.

Der Umfang bringt zudem einen Preis mit sich, der in keiner CVE-Gesamtzahl auftaucht. Jedes Produkt mit einer Korrektur ist eine weitere Komponente zum Testen und eine weitere Gelegenheit, dass eine Änderung etwas Unzusammenhängendes kaputt macht. Unternehmen können in der Regel nicht einfach installieren und weitermachen; sie testen und staffeln Updates vor dem Rollout. Ein Monat, der 301 Produkte und Komponenten berührt, belastet diese Pipeline, so gut sie auch geführt wird.

Einschränkungen

Zitieren Sie jede Zahl für den Oktober mit der zugehörigen Zählmethode. Tenable zählt 1.407, CrowdStrike 1.413 und Rapid7 gibt den reinen Windows-Anteil mit 1.102 an. Die Spanne spiegelt unterschiedliche Klassifizierungsentscheidungen wider, nicht Uneinigkeit darüber, ob die Veröffentlichung groß ist. Alle drei arbeiteten mit Microsofts eigenen Hinweisen.

Zwei weitere Einschränkungen gelten. Nicht jede Lücke im Paket ist aus der Ferne erreichbar, und die Rechteausweitungsgruppe, fast die Hälfte der Veröffentlichung, braucht in der Regel zuerst einen vorhandenen Zugang. Und die beiden Zero-Days sind keine austauschbaren Risiken. Eines wurde aktiv ausgenutzt; das andere war öffentlich, bevor ein Patch existierte. Beiden dieselbe Dringlichkeit zuzuweisen, überschätzt eines von ihnen.

Was zu beobachten ist

Drei Dinge werden entscheiden, ob der Oktober als Ausreißer oder als neue Untergrenze in Erinnerung bleibt.

Ob der Ausnutzung der Zahl folgt. Nur eine Lücke ist in diesem Monat ein bestätigter aktiv ausgenutzter Fall, und eine zweite ist öffentlich bekannt. Wenn mehr der 1.407 in Angriffen auftauchen, wird das Argument für schnelleres Patchen viel schwerer zu entkräften.

Ob die Risikokohorten den Kontakt mit Verteidigern überstehen. Microsoft hat klargestellt, dass die Funktion explorativ ist und nichts an seinen Empfehlungen ändert. Die Übernahme in den nächsten Veröffentlichungen wird zeigen, ob die Idee Teams hilft, eine monatliche Flut zu sortieren, oder nur ein weiteres Etikett zum Interpretieren hinzufügt.

Ob der Rekord hält. Dies ist der zweite Monat in Folge auf einem neuen Höchststand. Wenn der November ihn erneut übertrifft, wächst der Druck auf Patch-Fenster, Test-Pipelines und Lebenszyklusplanung weiter, und die Frage, wie ein vernünftiger Monatsrhythmus aussieht, wird lauter.

Für die meisten Menschen ist die Anweisung weiterhin einfach: Windows Update laufen lassen und neu starten, wenn es darum bittet. Für die Teams, die das nicht können, ist die eigentliche Arbeit im Oktober eine kurze Liste. Patchen Sie zuerst die Shell-Umgehung, wägen Sie die Lücken in Exchange und Active Directory gegen Ihre Exposition ab und setzen Sie den Rest auf einen Zeitplan, den Sie verteidigen können.

Titelbild: „Building92microsoft.jpg“ von Coolcaesar, CC BY-SA 4.0, via Wikimedia Commons.