Kurz gesagt: Am 13.10.2026 hat Microsoft seinen monatlichen Patchday veröffentlicht. Laut Tenable schließt er 1.407 Sicherheitslücken, so viele wie noch nie an einem Patchday. Eine Lücke in der Windows Shell, CVE-2026-96951, nutzen Angreifer bereits aus. Dazu kommen kritische Lücken in Exchange Server, Outlook und Active Directory. Für Windows 11 24H2 Home und Pro, Office 2021 und Windows Server 2012 war es das letzte reguläre Update. Stand 30.10.2026.

Was Microsoft im Oktober geschlossen hat

Microsoft bündelt Sicherheitsupdates und veröffentlicht sie am zweiten Dienstag im Monat, dem Patchday (englisch Patch Tuesday). Jede bekannte Lücke trägt eine weltweit eindeutige Nummer, die CVE-Nummer. Ihr Schweregrad wird mit dem CVSS-Wert von 0 bis 10 bewertet, 10 ist am gefährlichsten.

Laut Tenable umfasst der Oktober-Patchday 1.407 Lücken, 69 davon als kritisch eingestuft. Im September waren es 964. All About Security zählt 1.417 Lücken, die Abweichung entsteht durch unterschiedliche Zählweisen. Laut t-online entfallen 1.102 Lücken auf Windows und 134 auf Office, der Rest verteilt sich auf Exchange Server, SharePoint, SQL Server und Entwicklerwerkzeuge (t-online, 14.10.2026).

Die Lücke, die schon ausgenutzt wird: CVE-2026-96951

Windows versieht Dateien aus dem Internet und aus E-Mail-Anhängen mit einem unsichtbaren Vermerk, dem „Mark of the Web“. Daran erkennen Windows, der Filter SmartScreen und Office, dass sie warnen oder die Datei in der geschützten Ansicht öffnen sollen. CVE-2026-96951 hebelt diesen Schutz aus: Die Warnung bleibt aus, obwohl die Datei aus einer fremden Quelle stammt.

Microsoft bewertet die Lücke mit CVSS 8,8 und bestätigt, dass sie schon vor dem Update ausgenutzt wurde. Damit gilt sie als Zero-Day, also als Lücke, die Angreifer kannten, bevor es einen Schutz gab. Das Opfer muss die präparierte Datei selbst öffnen, etwa einen Mail-Anhang, eine Datei aus einem Chat oder einen Download über einen Link. Betroffen sind Windows 10 und 11 sowie mehrere Server-Versionen (t-online). Die US-Behörde CISA hat die Lücke am 13.10.2026 in ihren Katalog aktiv ausgenutzter Schwachstellen aufgenommen und Bundesbehörden eine Frist bis 16.10.2026 gesetzt. Wer die Lücke ausnutzt und gegen wen, ist öffentlich nicht bekannt (Stand 30.10.2026).

Weitere kritische Lücken für Firmen

„Fremden Code ausführen“ heißt: Ein Angreifer kann eigene Befehle auf dem System starten, als säße er davor. Diese Lücken sind für Firmen-Netze besonders wichtig (Angaben nach Vicarius und All About Security):

  • Exchange Server, CVE-2026-70571 (CVSS 8,1, kritisch): Eine präparierte E-Mail kann ohne Anmeldung fremden Code auf dem Mailserver ausführen. Microsoft stuft die Angriffskomplexität als hoch ein, hält eine Ausnutzung aber für wahrscheinlicher. Dazu kommt CVE-2026-96940 (CVSS 8,8), über die fremde Postfächer gelesen werden können. Exchange Online ist laut Microsoft schon geschützt, betroffen sind eigene Server im Haus.
  • Outlook, CVE-2026-70242 (CVSS 9,8, kritisch): Schon die Anzeige einer Mail im Vorschaufenster kann reichen, ein Klick ist nicht nötig. Vier verwandte Outlook-Lücken haben denselben Wert.
  • Active Directory, CVE-2026-70229 (CVSS 8,1, kritisch): Active Directory verwaltet in den meisten Firmen alle Benutzerkonten und Rechte. Wer hier Code ausführt, kann oft das ganze Netz übernehmen.
  • Netzdienste: zehn Lücken im Windows-DHCP-Server, der Geräten im Netz ihre Adressen zuteilt, dazu Lücken im DNS-Server (CVE-2026-83869, CVSS 9,8) und im Remote Desktop Gateway (CVE-2026-70187).

Supportende: diese Systeme bekommen keine Updates mehr

Supportende heißt: Microsoft liefert für diese Versionen keine Sicherheitsupdates mehr. Neue Lücken bleiben dauerhaft offen. Seit dem 13.10.2026 betrifft das:

  • Windows 11 24H2 Home und Pro: Das Update KB5127648 war das letzte reguläre. Microsoft empfiehlt den Wechsel auf 25H2 oder 26H2 (t-online).
  • Office 2021 und Office LTSC 2021
  • Windows Server 2012 und 2012 R2: auch mit ESU, den kostenpflichtigen erweiterten Sicherheitsupdates (Hagel IT).
  • Windows 10: Updates gibt es nur noch für Geräte im ESU-Programm.

Was Firmen jetzt tun können

  1. CVE-2026-96951 zuerst schließen. Das Oktober-Update auf allen Windows-Clients und -Servern einspielen und in der Softwareverteilung prüfen, ob es wirklich überall installiert ist. Geräte im Homeoffice nicht vergessen.
  2. Exchange, Domain Controller und Netzdienste als Nächstes. Eigene Exchange-Server, die Server mit Active Directory sowie DHCP-, DNS- und Remote-Desktop-Server haben die größte Hebelwirkung für Angreifer.
  3. Altsysteme erfassen. Eine Liste aller Geräte mit Windows Server 2012, Windows 11 24H2 Home oder Pro und Office 2021 anlegen. Für jedes Gerät ein Datum für das Upgrade festlegen oder es bis dahin vom übrigen Netz trennen.
  4. Mitarbeiter kurz informieren. Weil die Warnung bei manipulierten Dateien ausbleiben kann, gilt: unerwartete Anhänge, ZIP-Dateien und Downloads nur öffnen, wenn der Absender über einen zweiten Weg bestätigt ist.
  5. Patch-Management als festen Ablauf führen. Klare Fristen je Schweregrad, etwa wenige Tage für ausgenutzte Lücken. Für Einrichtungen, die unter das NIS-2-Umsetzungsgesetz fallen, gehört der Umgang mit Schwachstellen zu den Risikomanagementmaßnahmen nach § 30 BSIG. Ein dokumentierter Ablauf ist damit auch ein Nachweis.

Wie GermanAI Defense unterstützt

Unsere Cybersecurity Services umfassen Schwachstellen-Management: Wir erfassen Ihre Systeme, zeigen, welche Updates fehlen und welche Altsysteme ohne Support laufen, und priorisieren nach echtem Risiko statt nach Liste. Ein Penetrationstest prüft zusätzlich, ob eine offene Lücke bei Ihnen tatsächlich ausnutzbar ist. Dazu kommt SOC-Überwachung rund um die Uhr, Service- und Reaktionszeiten laut Vertrag.

→ Mehr zu unseren Cybersecurity Services: Cybersecurity Services ansehen

Weitere aktuelle Fälle: SafePay-Ransomware, PHP2Shell und Node2Shell

Quellen: t-online, 14.10.2026 · All About Security, 14.10.2026 · Vicarius, Auswertung Patchday Oktober 2026 · Hagel IT nach Tenable, Oktober 2026 · CISA, Katalog ausgenutzter Schwachstellen · Microsoft Security Update Guide