CVE-2026-96951

Microsoft hat mehr als 1400 Sicherheitslücken in Windows, Office & Co. geschlossen. Es laufen bereits Attacken.

Microsoft issued its largest ever round of security updates in the October Patch Tuesday

Microsoft schließt im Oktober mehr als 1.400 Sicherheitslücken, rund 70 davon stuft der Hersteller als kritisch ein und fast alle übrigen als wichtig. Eine ausgenutzte Windows-Shell-Schwachstelle sowie Fehler in .NET Framework und MessagePack-CSharp waren vorab öffentlich bekannt. Für Windows 11 24H2 Home und Pro ist es das letzte Update.

Microsoft hat zum Patch Tuesday im Oktober 2026 Updates für 1.417 Sicherheitslücken veröffentlicht. Eine Lücke war bereits vor dem Patch Tuesday öffentlich bekannt, eine weitere, CVE-2026-96951 in der Windows-Shell, wird schon ausgenutzt. Administratoren sollten diesen Fehler zuerst beheben, denn die CISA-Frist endet am 16. Oktober. Der Beitrag Patch Tuesday Oktober 2026: Microsoft schließt 1.417 Sicherheitslücken erschien zuerst auf All About Security Das Online-Magazin zu Cybersecurity (Cybersicherheit). Ransomware, Phishing, IT-Sicherheit, Netzwerksicherheit, KI, Threats, DDoS, Identity & Access, Plattformsicherheit .

Microsoft on Tuesday shattered its own Patch Tuesday record by shipping patches for a whopping 1,413 vulnerabilities, including one that it said has come under active exploitation. These include 1,102 flaws in Windows, 134 in Office, 61 in Developer Tools, 36 in SharePoint Server, and 22 in SQL Server. Of these, more than 670 relate to privilege escalation, followed by over 300 remote code

Beim Patch Day am 13. Oktober hat Microsoft Sicherheits-Updates bereitgestellt, die 1416 neue Sicherheitslücken schließen sollen – die knapp 250 in Edge beseitigten Chromium-Lücken kommen noch oben drauf. Das ist nicht nur ein weiterer neuer Rekord, es sind erstmals mehr als 1000 Lücken in einem Monat. Zudem umfasst der Oktober 2026 mehr Schwachstellen als jedes bisherige komplette Jahr. Die CVE-Nummern werden sechsstellig. Etliche hundert Lücken pro Monat dürften der neue Standard sein. Immerhin wächst die Anzahl der aktiv ausgenutzten Sicherheitslücken bislang nicht mit. Neben Windows und Office sind auch Exchange Server, SQL Server, Hyper-V, Skype for Business, Windows Defender, .NET, Visual Studio und Microsofts Cloud-Dienste sowie weitere Produkte betroffen. Ganze 85 der 1416 Schwachstellen stuft Microsoft als kritisch ein, darunter sind 67 RCE-Lücken (remote code execution). Die übrigen Sicherheitslücken sind als hohes Risiko ausgewiesen. Eine Schwachstelle wird bereits für Angriffe ausgenutzt, zwei waren vorab öffentlich bekannt. Für die Risikoabschätzung und Update-Priorisierung in komplexeren IT-Umgebungen schlägt Microsoft so genannte Risikokohorten vor. Diese fassen mehrere Lücken zusammen und erinnern ein wenig an die früheren Security Bulletins aus der Zeit vor 2017. Die Details zu den Schwachstellen bietet Microsoft weiterhin zum Selbstsuchen im Leitfaden für Sicherheitsupdates . Deutlich übersichtlicher, soweit dies bei der Menge noch möglich ist, bereitet Dustin Childs im Blog von Trend Micro ZDI das Thema Update-Dienstag auf – stets auch mit Blick auf Admins, die Unternehmensnetzwerke betreuen. Wichtige Sicherheitslücken beim Patch Day im Oktober 2026 CVE anfällige Software Risiko Aus­­wirkung aus­ge­nutzt vorab bekannt CVSS CVE-2026-96951 Windows, Shell hoch SFB ja nein 8.8 CVE-2026-108398 .NET Framework hoch SFB nein ja 8.8 CVE-2026-92707 .NET, C# mittel DoS nein ja 5.3 CVE-2026-102866 Office, Sharepoint kritisch EoP nein nein 8.1 CVE-2026-65674 SQL Server hoch RCE nein nein 8.8 CVE-2026-70571 Exchange Server kritisch RCE nein nein 8.1 RCE: Remote Code Execution DoS: Denial of Service EoP: Elevation of Privilege, Rechteausweitung SFB: Security Feature Bypass Schwachstellen in Windows Ein großer Anteil der Schwachstellen, diesmal über 1000, verteilt sich über die verschiedenen Windows-Versionen (10, 11, Server), für die Microsoft noch Sicherheits-Updates anbietet. Windows 10 wird weiterhin ganz normal als betroffenes System genannt, obwohl die Unterstützung im Oktober 2025 offiziell ausgelaufen ist – das lief bei Windows 7 noch anders, trotz ESU-Programm (Erweiterte Sicherheits-Updates). Microsoft hat das ESU-Programm für Windows 10 auf privat genutzten Rechnern bis 12. Oktober 2027 verlängert. Wenn auf Ihrem Rechner noch Windows 11 24H2 läuft, ist dies Ihr letzter Patch Day, sofern Sie nicht aktiv werden . Rechner mit Windows 11 24H2 erhalten nach dem 13. Oktober 2026 keine Sicherheits-Updates mehr. Installieren Sie, wenn Windows Update Sie dazu auffordert, das Update auf Windows 11 25H2 oder 26H2. Dann erhält Ihr PC auch weiterhin Updates. Windows unter Beschuss Eine Windows-Lücke wird in diesem Monat bereits für Angriffe ausgenutzt. Die Schwachstelle CVE-2026-96951 in der Windows Shell ist als hohes Risiko ausgewiesen. Ihre Ausnutzung ermöglicht es Angreifern, Schutzvorkehrungen im System zu umgehen, indem sie die Herkunft einer ausführbaren Datei aus dem Internet (Mark of the Web – MotW) verschleiern. Kritische Windows-Lücken Microsoft stuft 42 Windows-Schwachstellen als kritisch ein. darunter 30 RCE-Lücken. Dustin Childs nennt mehr als 50 Sicherheitslücken, die er als Wurm-tauglich identifiziert hat. Ein Angreifer könnte aus der Ferne ohne Authentifizierung und Benutzerinteraktion eingeschleusten Code ausführen. Der schädliche Code könnte sich dann im Netzwerk weiter ausbreiten. Edge-Updates beheben fast 250 Chromium-Lücken Das neueste Sicherheits-Update auf Edge 155.0.4283.45 ist vom 8. Oktober und basiert auf Chromium 155.0.8059.40. Es beseitigt 247 Chromium-Schwachstellen, die bei der oben genannten Gesamtlückenanzahl nicht eingerechnet sind. In dieser Woche hat Google ein Sicherheits-Update für Chrome 155 bereitgestellt, das weitere 37 Lücken schließt. Ein entsprechendes Edge-Update steht noch aus. Über 180 Sicherheitslücken in Office geschlossen In seinen Office-Produkten hat Microsoft 194 Schwachstellen beseitigt, deutlich mehr als im Vormonat. Darunter sind 25 als kritisch eingestufte RCE-Lücken (remote code execution). Oft ist bei kritischen RCE-Lücken in Office bereits das Vorschaufenster ein Angriffsvektor – ein Benutzer muss eine präparierte Datei nicht erst mit Office öffnen, damit eine Attacke erfolgreich ist. Als hohes Risiko ausgewiesene RCE-Lücken können ausgenutzt werden, wenn ein Benutzer eine präparierte Office-Datei in einem anfälligen Office-Produkt öffnet (open-and-own). ▶Die neuesten Sicherheits-Updates Unter etlichen Schwachstellen in Sharepoint findet sich mit CVE-2026-102866 immerhin eine EoP-Lücke (elevation of privilege), die Microsoft als kritisch einstuft. Es ist auch die einzige Sharepoint-Lücke, die ein Angreifer ohne Benutzeranmeldung ausnutzen könnte. Er müsste sich ein gültiges Token eines Benutzers besorgen, es modifizieren und sich beim Server als dieser Benutzer ausgeben. Tipp: Unabhängig davon, dass Sie das Betriebssystem stets aktuell halten, sollten Sie die Sicherheit Ihres PCs zusätzlich mit geeigneter Antivirus-Software verbessern. Gute Antivirus-Lösungen stellen wir in „ Die besten Antivirus-Programme im Test: So schützen Sie Ihren Windows-PC “ vor. Falls Sie großen Wert auf anonymes Surfen legen, sind wiederum gute VPN-Programme einen Blick wert. Schwachstellen in Exchange Server In Exchange Server hat Microsoft in diesem Monat sieben Schwachstellen behoben. Sechs Lücken sind als hohes Risiko eingestuft, darunter fünf EoP-Lücken. Mit CVE-2026-70571 ist auch eine als kritisch ausgewiesene RCE-Lücke dabei. Dustin Childs rechnet sie zu den Wurm-tauglichen Schwachstellen, wie auch Microsoft schätzt er die Erfolgswahrscheinlichkeit jedoch als eher gering ein. Auch im Oktober gibt es wieder ein neues Windows-Tool zum Entfernen bösartiger Software . Der nächste turnusmäßige Update-Dienstag ist am 10. November 2026.

Ein Angreifer kann mehrere Schwachstellen in verschiedenen Microsoft Office Produkten ausnutzen, um seine Privilegien zu erhöhen, um Code auszuführen, um Informationen offenzulegen oder zu manipulieren und um Sicherheitsmechanismen zu umgehen.