Mobile-Menu

Microsoft Patchday Oktober 2026 Angreifer können Download-Warnung von Windows umgehen

Von Thomas Joos 6 min Lesedauer

Anbieter zum Thema

Onapsis Europe GmbH

Microsoft schließt im Oktober mehr als 1.400 Sicherheitslücken, rund 70 davon stuft der Hersteller als kritisch ein und fast alle übrigen als wichtig. Eine ausgenutzte Windows-Shell-Schwachstelle sowie Fehler in .NET Framework und MessagePack-CSharp waren vorab öffentlich bekannt. Für Windows 11 24H2 Home und Pro ist es das letzte Update.

1.413 Sicherheitslücken schließt Microsoft beim Patchday im Oktober. Das übertrifft den September mit mittlerweile 999 Schwachstellen.(Bild: Dall-E / Vogel IT-Medien / KI-generiert)
1.413 Sicherheitslücken schließt Microsoft beim Patchday im Oktober. Das übertrifft den September mit mittlerweile 999 Schwachstellen.
(Bild: Dall-E / Vogel IT-Medien / KI-generiert)

Angreifer nutzen CVE-2026-96951 in der Windows Shell bereits aus, bevor Microsoft die Sicherheitsupdates zu diesem Oktober-Patchday veröffentlichte. Die Sicherheitslücke hat einen CVSS-Score von 8.8 und geht auf eine Command Injection zurück, bei der die Shell Sonderzeichen in einem Befehl nicht neutralisiert. Mit einer präparierten Datei oder einem Link können Angreifer so das Mark of the Web (MotW) umgehen, also die Markierung, an der Windows Dateien aus dem Internet erkennt und vor dem Öffnen warnt. Der Angriff setzt voraus, dass ein Anwender die Datei öffnet oder dem Link folgt.

Die US-Behörde CISA hat die Sicherheitslücke am 13. Oktober 2026 in ihren Katalog bekannter ausgenutzter Schwachstellen aufgenommen. Für US-Bundesbehörden endet die Frist zum Schließen der Schwachstelle am 16. Oktober 2026. Administratoren sollten dieses Update zuerst verteilen.

Vor dem Patchday öffentlich bekannt war außerdem CVE-2026-108398 in .NET Framework, die einen CVSS-Score von 8.8 hat. Ein angemeldeter Angreifer kann eine präparierte .NET-Assembly ablegen, sie zum Laden durch einen geschützten Prozess registrieren und über den unsicheren Suchpfad Windows Defender Application Control (WDAC) umgehen, die Richtlinie für erlaubte Programme, und im geschützten Prozess Code ausführen, wobei der Hersteller keine Angriffe meldet. Ebenfalls öffentlich bekannt war CVE-2026-92707 in MessagePack-CSharp, einer Bibliothek eines Drittanbieters. Die Sicherheitslücke stammt von GitHub als vergebender Stelle (CNA) und hat einen CVSS-Score von 5.3. Über eine unkontrollierte Speicherreservierung können Angreifer ohne Anmeldung einen Dienst über das Netz stören.

Angreifer können Netzwerkdienste ohne Anmeldung übernehmen

Als wurmfähig lassen sich fast 60 Sicherheitslücken des Monats einstufen. Microsoft beschreibt für sie einen Angriff über das Netz, der weder eine Anmeldung noch ein Zutun eines Anwenders verlangt. Kritisch und mit einem CVSS-Score von 9.8 sind CVE-2026-96934 im DHCP-Server, CVE-2026-100219 und CVE-2026-105016 in Microsoft QUIC sowie CVE-2026-97814 in Windows Text Shaping, wobei der Hersteller für keine dieser vier Schwachstellen eine Ausnutzung meldet.

Im Network Policy Server (NPS), der als RADIUS-Server die Anmeldungen an VPN- und WLAN-Zugängen prüft, erreichen CVE-2026-100222 mit einem Heap-Pufferüberlauf und CVE-2026-85806 mit einem Integer-Unterlauf je einen CVSS-Score von 9.8. Der Hersteller stuft beide trotzdem „nur“ als wichtig und nicht als kritisch ein.

Über einen präparierten Druckauftrag können Angreifer ohne Anmeldung CVE-2026-70147 im Microsoft PostScript Printer Driver auslösen und Code ausführen, die kritische Sicherheitslücke hat wie CVE-2026-70153 im selben Treiber einen CVSS-Score von 9.8. Bei CVE-2026-100202 im Windows Message Queuing Queue Manager genügt eine präparierte Nachricht an den MSMQ-Dienst für einen Use-after-free mit Codeausführung, Angriffe sind hier nicht bekannt.

Microsoft schließt die Cloud-Schwachstellen selbst

CVE-2026-96207 im Microsoft Partner Center hat mit 10.0 den höchsten CVSS-Score aller Oktober-CVEs von Microsoft. Über eine fehlerhafte Zertifikatsprüfung kann ein Angreifer ohne Anmeldung seine Rechte ausweiten.

In Microsoft Bookings erlaubt CVE-2026-94510 mit 9.9 über einen vom Anwender steuerbaren Schlüssel eine Umgehung der Autorisierung.

Die kritischen Sicherheitlsücken CVE-2026-88131 in Dataverse und CVE-2026-77900 im Azure App Service erlauben mit 9.8 eine Codeausführung ohne Anmeldung. Der Hersteller hat alle vier ohne bekannte Ausnutzung vollständig behoben und am 8. Oktober 2026 veröffentlicht. Die Kunden der Dienste brauchen deshalb weder ein Update noch eine Konfigurationsänderung.

Angreifer können Exchange, Active Directory und SharePoint ohne Anmeldung erreichen

In Exchange Server erlaubt CVE-2026-70571 mit einem CVSS-Score von 8.1 eine Codeausführung ohne Anmeldung. Auslöser ist eine präparierte Mail, die einen internen Konvertierungsvorgang und darin einen stapelbasierten Pufferüberlauf anstößt. Laut Microsoft setzt ein Erfolg genaue Kenntnis der Zielumgebung voraus. Trotzdem hält der Hersteller eine Ausnutzung für wahrscheinlicher (Exploitation More Likely).

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Die gleiche Einschätzung gibt Microsoft für CVE-2026-70229 in den Active Directory Domain Services mit 8.1 ab, die unter bestimmten Netzwerkkonfigurationen eine Codeausführung erlaubt. Exchange- und Domänencontroller-Betreiber sollten beide Updates früh einplanen.

Für SharePoint stuft Microsoft CVE-2026-102866 als kritisch ein. Die Schwachstelle hat einen CVSS-Score von 8.1 und beruht auf einer fehlerhaften Signaturprüfung. Mit dem gültigen Proof-Token eines Anwenders kann ein Angreifer das Token ohne Anmeldung verändern und an den Server schicken. Danach kann er sich als dieser Anwender ausgeben und dessen Inhalte lesen oder ändern. Für keine der drei Sicherheitslücken meldet der Hersteller Angriffe.

Angreifer brauchen in Outlook keinen Klick des Empfängers

In Microsoft Office Outlook schließt der Hersteller fünf kritische Sicherheitslücken mit jeweils dem CVSS-Score 9.8. CVE-2026-70242, CVE-2026-70291 und CVE-2026-97016 beruhen auf Heap-Pufferüberläufen, CVE-2026-88156 auf einem stapelbasierten Überlauf und CVE-2026-97749 auf einem Double Free. Ohne Anmeldung kann ein Angreifer eine präparierte Mail an ein Postfach schicken, deren Code bereits startet, sobald Outlook sie im Lesebereich anzeigt, also bevor der Empfänger die Nachricht öffnet oder etwas anklickt. Die Office-Updates sollten Administratoren gleich nach dem Shell-Patch verteilen.

Mit demselben Wert lässt sich in Word CVE-2026-70300 über ein WordPerfect-Dokument mit verknüpfter Grafikdatei für eine Codeausführung nutzen, sobald Word es im Lesebereich verarbeitet.

In PowerPoint erlaubt die kritische Schwachstelle CVE-2026-88178 eine Codeausführung, wenn ein Angreifer ohne Anmeldung eine präparierte Präsentation an einen Office-Online-Dienst übergibt. Microsoft meldet für keine der Office-Lücken eine Ausnutzung, für Office LTSC für Mac 2021 und 2024 fehlen allerdings noch die Updates zu CVE-2026-88178, CVE-2026-70291 und CVE-2026-88156.

Angemeldete Angreifer können SQL Server und Hyper-V-Hosts übernehmen

CVE-2026-65674 im Microsoft SQL Server hat einen CVSS-Score von 8.8 und beruht auf der Deserialisierung nicht vertrauenswürdiger Daten. Ein angemeldeter Angreifer kann mit einer präparierten Abfrage Code auf dem Server starten. Da der Angriff gültige Zugangsdaten verlangt, taugt die Sicherheitslücke vor allem für die Ausbreitung nach einem ersten Einbruch.

In Visual Studio Tools for Applications und im SQL Server Management Studio genügt bei CVE-2026-103572 mit ebenfalls 8.8 eine Prompt Injection für eine Codeausführung, sobald ein Anwender mit Copilot arbeitet.

Zu den kritischen Schwachstellen zählt auch CVE-2026-102214 in Hyper-V, die einen CVSS-Score von 8.8 hat. Ein Angreifer mit geringen Rechten in einer Gast-VM kann über eine präparierte Anwendung und einen Use-after-free Code auf dem Host ausführen und damit auf Hosts mit mehreren Mandanten die Grenze zu den übrigen VMs überschreiten. Angriffe sind weder für die SQL- noch für die Hyper-V-Sicherheitslücke bekannt.

Microsoft beendet die Updates für Windows 11 24H2 Home und Pro

Für Windows 11 24H2 Home und Pro sowie Windows 10 Enterprise LTSB 2016 ist das Oktober-Update das letzte, Version 25H2 erhält in Home und Pro noch bis Oktober 2027 Updates. Die Enterprise- und Education-Editionen von Windows 11 23H2 erhalten ihr letztes Update am 10. November 2026. Windows Server 2022 verlässt mit dem Oktober den Mainstream Support und bekommt im Extended Support bis Oktober 2031 weiter Sicherheitsupdates. Privatanwender mit Windows 10 können sich bis zum 12.10.2027 in das ESU-Programm einschreiben.

Neu sind die Risk Cohorts, mit denen Microsoft die CVEs eines Monats nach gemeinsamen Prüffragen gruppiert. Der Hersteller nennt die Gruppen eine explorative Hilfe, die keine offizielle Kategorie bildet und die Prüfung einzelner CVEs nicht ersetzt. Die Gruppe für Office-Dokumente und Mail-Clients umfasst laut Übersicht 135 CVEs. Ihre Prüffragen gelten den installierten Office-Versionen und den fremden Inhalten, die diese erreichen, sowie der Verteilung der Updates.

Fazit zum Patchday

Die ausgenutzte Sicherheitslücke CVE-2026-96951 mit einem CVSS-Score von 8.8 umgeht die MotW-Warnung, verlangt aber einen Anwender, der die Datei öffnet. Die breitere Angriffsfläche bilden Dienste, die sich ohne Anmeldung angreifen lassen, darunter der DHCP-Server mit CVE-2026-96934, der Network Policy Server mit CVE-2026-100222 und Outlook mit CVE-2026-70242, alle mit 9.8. Für Exchange Server und die Active Directory Domain Services mit jeweils 8.1 hält Microsoft eine Ausnutzung für wahrscheinlicher. Beim Lebenszyklus endet Windows 11 24H2 Home und Pro, Windows Server 2022 wechselt in den Extended Support.

Ihre Meinung zu den Patchday-News ist gefragt!

Seit vielen Jahren veröffentlichen wir regelmäßig Meldungen zum Microsoft Patchday. Wir würden gerne von Ihnen wissen, wie wir die Meldungen noch nützlicher für Ihre tägliche Arbeit machen können. Welche Infos wünschen Sie sich zusätzlich, was können wir über­sichtlicher machen, was weglassen? Schreiben Sie uns eine E-Mail! Wir lesen jede Zuschrift, versprochen!

(ID:50972662)

Weiterführende Inhalte