Sicherheit · 16. Oktober 2026
Microsoft schließt im Oktober 1407 Sicherheitslücken, darunter drei Null-Tage-Schwachstellen
Microsoft hat im Rahmen des monatlichen Sicherheitsupdates im Oktober 2026 insgesamt 1407 Sicherheitslücken geschlossen. Zu den behobenen Schwachstellen gehören drei Null-Tage-Lücken, von denen eine bereits aktiv ausgenutzt wird. Das Update betrifft verschiedene Versionen der Betriebssysteme Windows und Windows Server sowie die Serversoftware Exchange.
Am 13. Oktober 2026 veröffentlichte das Unternehmen sein monatliches Paket an Sicherheitskorrekturen. Damit wurde der zuvor im September 2026 aufgestellte Rekord von 973 behobenen Lücken deutlich übertroffen. Die Anzahl der behobenen Schwachstellen stieg um mehr als 400 gegenüber dem Vormonat an. Microsoft nutzt künstliche Intelligenz, um Schwachstellen in seinen Produkten zu identifizieren, was zu einem steigenden Volumen an Korrekturen in den letzten Monaten geführt hat.
Das Betriebssystem Windows ist mit 1115 behobenen Lücken am stärksten betroffen. Darauf folgen die Software Microsoft Office mit 138, SharePoint Server mit 36, SQL Server mit 22 und Exchange Server mit 6 behobenen Schwachstellen. Unter den insgesamt behobenen Lücken ermöglichen 672 eine Erhöhung der Benutzerrechte und 314 eine Fernausführung von Code. Insgesamt wurden 69 Lücken als kritisch eingestuft.
Um IT-Teams bei der Priorisierung der Updates zu unterstützen, testet Microsoft ein neues Verfahren namens Risikokohorten. Dabei werden Common Vulnerabilities and Exposures gruppiert, deren Priorität von spezifischen Kriterien der jeweiligen Umgebung abhängt, beispielsweise der Exposition von Remote Desktop Protocol-Servern.
Besondere Aufmerksamkeit erfordert die Null-Tage-Lücke CVE-2026-96951 im Windows Shell. Diese Schwachstelle hat eine Common Vulnerability Scoring System-Bewertung von 8,8 von 10 Punkten und ermöglicht eine Befehlsinjektion, die den Schutzmechanismus Mark of the Web umgeht. Dieser Mechanismus kennzeichnet Dateien, die aus dem Internet heruntergeladen wurden, und löst Warnungen von SmartScreen aus. Microsoft weist darauf hin, dass ein Angreifer über E-Mails oder Instant Messaging eine speziell gestaltete Datei senden könnte. Eine Benutzerinteraktion durch das Öffnen einer Anlage oder das Klicken auf einen Link ist erforderlich. Die Schwachstelle betrifft Windows 10, Windows 11 in den Versionen 23H2 bis 26H2 sowie Windows Server 2012 R2 bis 2025.
Eine weitere kritische Lücke ist CVE-2026-108398 im .NET Framework mit einer Bewertung von 8,8. Sie ermöglicht das Umgehen von Windows Defender Application Control, das nun App Control for Business heißt. Ein authentifizierter Angreifer könnte eine speziell gestaltete .NET-Assembly auf einem betroffenen System platzieren und registrieren, sodass sie von einem geschützten Prozess geladen wird. Eine erfolgreiche Ausnutzung würde die Einschränkungen des Application Control umgehen und die Ausführung von Code im geschützten Prozess erlauben. Der Angreifer benötigt dafür bereits lokalen Zugriff. Ein Update des .NET Frameworks ist unabhängig von der Windows-Version erforderlich.
Die dritte Null-Tage-Lücke, CVE-2026-92707, betrifft die Serialisierungsbibliothek MessagePack-CSharp für .NET. Es handelt sich um einen Denial-of-Service-Angriff aufgrund einer schlecht kontrollierten sequentiellen Speicherzuweisung. Die Schwachstelle kann ferngesteuert und ohne Authentifizierung ausgenutzt werden. Mit einer Bewertung von 5,3 ist sie weniger besorgniserregend. Sie betrifft Windows, Linux und macOS, sofern die betroffene Komponente installiert ist.
Dieses Sicherheitsupdate markiert das Ende des Supports für mehrere Versionen von Windows und Windows Server, abhängig von der Edition. Microsoft listet die betroffenen Anwendungen und die entsprechenden Patches auf seiner Website auf.