Windows Shell-Lücke: MotW-Bypass aktiv ausgenutzt

Mark of the Web umgangen Angreifer nutzen Zero Day in der Windows Shell aus

19.10.2026 Von Melanie Staudacher 2 min Lesedauer

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

FAST LTA GmbH

FTAPI Software GmbH

Beim Patchday hat Microsoft eine aktiv ausgenutzte Schwachstelle in der Windows Shell gepatcht. Bei anfälligen Systemen können Angreifer damit den Schutz Mark of the Web umgehen. Betroffen sind Windows 10, Windows 11, Windows Server ab 2012 R2 und Outlook.

Mit einer präparierten Datei oder einem Link können Cyberangreifer die Markierung umgehen, an der Windows Dateien aus dem Internet erkennt und Nutzer vor dem Öffnen warnt, die Mark of the Web.(Bild: Dall-E / Vogel IT-Medien GmbH / KI-generiert) — Mit einer präparierten Datei oder einem Link können Cyberangreifer die Markierung umgehen, an der Windows Dateien aus dem Internet erkennt und Nutzer vor dem Öffnen warnt, die Mark of the Web.
(Bild: Dall-E / Vogel IT-Medien GmbH / KI-generiert)

Microsoft hat am 13. Oktober 2026 zu seinem Patchday ein Update für eine Schwachstelle in der Windows Shell veröffentlicht. Doch diese wurde schon vorher ausgenutzt. Bei der Sicherheitslücke EUVD-2026-100274 / CVE-2026-96951 (CVSS-Score 8.8, EPSS-Score^* 1.51) handelt es sich um eine Command Injection, mit der ein Angreifer eine Sicherheitsfunktion über das Netzwerk umgehen kann. Microsoft stuft sie als „Important“ ein und bestätigt, dass sie bereits ausgenutzt wird („Exploitation Detected“). Die CISA hat sie ebenfalls am Patchday in ihren KEV-Katalog aufgenommen.

1.413 Sicherheitslücken schließt Microsoft beim Patchday im Oktober. Das übertrifft den September mit mittlerweile 999 Schwachstellen. (Bild: Dall-E / Vogel IT-Medien / KI-generiert)

So umgehen Angreifer Mark of the Web

Laut Enisa sind folgende Produkte betroffen:

Windows 11 26H2: Builds vor 10.0.26300.9711

Windows 11 26H1: Builds vor 10.0.28000.3231

Windows 11 25H2: Builds vor 10.0.26200.9711

Windows 11 24H2: Builds vor 10.0.26100.9711

Windows 11 23H2: Builds vor 10.0.22631.7652

Windows 10 22H2 und 21H2: Builds vor 10.0.19044.7807

Windows 10 1809 und Windows Server 2019: Builds vor 10.0.17763.9376

Windows 10 1607 und Windows Server 2016: Builds vor 10.0.14393.9612

Windows Server 2025: Builds vor 10.0.26100.33650

Windows Server 2022: Builds vor 10.0.20348.5761

Windows Server 2012 R2: Builds vor 6.3.9600.23470

Outlook.com: Builds vor 20260925.100

Die Windows Shell ist die Benutzeroberfläche von Windows, über die Nutzer unter anderem Dateien öffnen und verwalten. Die Schwachstelle darin beruht auf einer unzureichenden Neutralisierung von Sonderzeichen in einem Befehl. Angreifer können damit die Schutzfunktion Mark of the Web (MotW) umgehen. Windows markiert damit Dateien aus dem Internet als potenziell unsicher und zeigt dazu Warnungen an.

Für einen Angriff müssen Cyberkriminelle ihre Opfer laut Microsoft dazu bringen, auf einen Link zu klicken, der ihn auf eine vom Angreifer kontrollierte Website führt, oder einen schädlichen Dateianhang zu öffnen. Laut CVSS-Vektor erfolgt der Angriff über das Netzwerk, ist wenig komplex und erfordert keine Anmeldung. Microsoft bezeichnet die Folge der Ausnutzung als einen „Security Feature Bypass“.

Microsoft stellt Sicherheitsupdates für alle betroffenen Produkte bereit. Die Schwachstelle ist ab diesen Builds behoben:

Windows 11 26H2: Update KB5127648 (Build 10.0.26300.9711 oder höher)

Windows 11 26H1: Update KB5127646 (Build 10.0.28000.3231 oder höher)

Windows 11 25H2: Update KB5127648 (Build 10.0.26200.9711 oder höher)

Windows 11 24H2: Update KB5127648 (Build 10.0.26100.9711 oder höher)

Windows 11 23H2: Update KB5126653 (Build 10.0.22631.7652 oder höher)

Windows 10 22H2 und 21H2: Update KB5126657 (Build 10.0.19044.7807 oder höher)

Windows 10 1809 und Windows Server 2019: Update KB5126651 (Build 10.0.17763.9376 oder höher)

Windows 10 1607 und Windows Server 2016: Update KB5126868 (Build 10.0.14393.9612 oder höher)

Windows Server 2025: Update KB5126646 (Build 10.0.26100.33650 oder höher)

Windows Server 2022: Update KB5126655 (Build 10.0.20348.5761 oder höher)

Windows Server 2012 R2: Update KB5126836 (Build 6.3.9600.23470 oder höher)

Outlook.com: Sicherheitsupdate ohne KB-Nummer (Build 20260925.100 oder höher)

Workarounds nennt der Hersteller keine, auch Indicators of Compromise nicht. Unternehmen sollten die Updates zügig einspielen und Nutzer sensibilisieren, keine Dateien aus unbekannten Quellen zu öffnen.

* Hinweis zum EPSS-Score: Das Exploit Prediction Scoring System zeigt die Wahrscheinlichkeit in Prozent an, mit der eine Schwachstelle innerhalb der nächsten 30 Tage ausgenutzt wird. Der entsprechende Score kann sich im Laufe der Zeit verändern. Sofern nicht anders angegeben, beziehen wir uns auf den Stand des EPSS-Scores zum Zeitpunkt der Veröffentlichung des Artikels.

Microsoft-Produkte wie Windows, Azure, Office, Dynamics Visual Studio und viele mehr werden ausgemustert oder werden auf erweiterten Support umgestellt oder erhalten gar keinen Support mehr. (Bild: Dall-E / Vogel IT-Medien GmbH / KI-generiert)

(ID:50988558)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Business E-mail

Bitte geben Sie eine gültige E-Mailadresse ein.

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Stand: 08.12.2025

Es ist für uns eine Selbstverständlichkeit, dass wir verantwortungsvoll mit Ihren personenbezogenen Daten umgehen. Sofern wir personenbezogene Daten von Ihnen erheben, verarbeiten wir diese unter Beachtung der geltenden Datenschutzvorschriften. Detaillierte Informationen finden Sie in unserer Datenschutzerklärung.

Einwilligung in die Verwendung von Daten zu Werbezwecken

Ich bin damit einverstanden, dass die Vogel IT-Medien GmbH, Max-Josef-Metzger-Straße 21, 86157 Augsburg, einschließlich aller mit ihr im Sinne der §§ 15 ff. AktG verbundenen Unternehmen (im weiteren: Vogel Communications Group) meine E-Mail-Adresse für die Zusendung von Newslettern und Werbung nutzt. Auflistungen der jeweils zugehörigen Unternehmen können hier abgerufen werden.

Der Newsletterinhalt erstreckt sich dabei auf Produkte und Dienstleistungen aller zuvor genannten Unternehmen, darunter beispielsweise Fachzeitschriften und Fachbücher, Veranstaltungen und Messen sowie veranstaltungsbezogene Produkte und Dienstleistungen, Print- und Digital-Mediaangebote und Services wie weitere (redaktionelle) Newsletter, Gewinnspiele, Lead-Kampagnen, Marktforschung im Online- und Offline-Bereich, fachspezifische Webportale und E-Learning-Angebote. Wenn auch meine persönliche Telefonnummer erhoben wurde, darf diese für die Unterbreitung von Angeboten der vorgenannten Produkte und Dienstleistungen der vorgenannten Unternehmen und Marktforschung genutzt werden.

Meine Einwilligung umfasst zudem die Verarbeitung meiner E-Mail-Adresse und Telefonnummer für den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern wie z.B. LinkedIN, Google und Meta. Hierfür darf die Vogel Communications Group die genannten Daten gehasht an Werbepartner übermitteln, die diese Daten dann nutzen, um feststellen zu können, ob ich ebenfalls Mitglied auf den besagten Werbepartnerportalen bin. Die Vogel Communications Group nutzt diese Funktion zu Zwecken des Retargeting (Upselling, Crossselling und Kundenbindung), der Generierung von sog. Lookalike Audiences zur Neukundengewinnung und als Ausschlussgrundlage für laufende Werbekampagnen. Weitere Informationen kann ich dem Abschnitt „Datenabgleich zu Marketingzwecken“ in der Datenschutzerklärung entnehmen.

Falls ich im Internet auf Portalen der Vogel Communications Group einschließlich deren mit ihr im Sinne der §§ 15 ff. AktG verbundenen Unternehmen geschützte Inhalte abrufe, muss ich mich mit weiteren Daten für den Zugang zu diesen Inhalten registrieren. Im Gegenzug für diesen gebührenlosen Zugang zu redaktionellen Inhalten dürfen meine Daten im Sinne dieser Einwilligung für die hier genannten Zwecke verwendet werden. Dies gilt nicht für den Datenabgleich zu Marketingzwecken.

Recht auf Widerruf

Mir ist bewusst, dass ich diese Einwilligung jederzeit für die Zukunft widerrufen kann. Durch meinen Widerruf wird die Rechtmäßigkeit der aufgrund meiner Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt. Um meinen Widerruf zu erklären, kann ich als eine Möglichkeit das unter https://contact.vogel.de abrufbare Kontaktformular nutzen. Sofern ich einzelne von mir abonnierte Newsletter nicht mehr erhalten möchte, kann ich darüber hinaus auch den am Ende eines Newsletters eingebundenen Abmeldelink anklicken. Weitere Informationen zu meinem Widerrufsrecht und dessen Ausübung sowie zu den Folgen meines Widerrufs finde ich in der Datenschutzerklärung.