Patchday Oktober 2026: Über 1.400 Lücken – und jetzt?

Beim Microsoft-Patchday im Oktober 2026 wurden am 13. Oktober über 1.400 Sicherheitslücken geschlossen – der größte Patchday in der Geschichte des Konzerns. Zum Vergleich: Im gesamten Jahr 2025 veröffentlichte Microsoft rund 1.100 Updates, im September 2026 waren es 974. 70 Lücken sind als kritisch eingestuft, 57 davon ermöglichen Remote Code Execution.

Der Grund für die Flut: Microsoft setzt zunehmend KI-gestützte Werkzeuge ein, um Schwachstellen im eigenen Code zu finden. Bereits im Juli hatte der Konzern angekündigt, dass dadurch deutlich mehr Patches zu erwarten sind. Für Unternehmen bedeutet das: Wer jeden Monat einfach „alles irgendwann“ einspielt, verliert bei diesem Volumen den Überblick. Entscheidend ist eine klare risikobasierte Priorisierung.

Die gute Nachricht: Nur eine Lücke wird aktuell aktiv ausgenutzt. Die schlechte: Darunter sind mehrere Schwachstellen, die ohne Klick des Nutzers auslösbar sind.

1) Windows Shell: der aktiv ausgenutzte Zero-Day

CVE-2026-96951 (CVSS 8.8) erlaubt es, den Mark of the Web (MotW) zu umgehen. Eine präparierte Datei oder ein Link öffnet sich dann ohne die übliche Sicherheitswarnung. Der Nutzer muss die Datei zwar öffnen, doch genau das ist bei Phishing das Ziel. CISA hat die Lücke am 13. Oktober in den KEV-Katalog aufgenommen.

Warum das fürs Business kritisch ist: MotW ist eine der wichtigsten Schutzschichten gegen Makro- und Datei-Angriffe aus dem Internet. Fällt sie weg, werden Phishing-Anhänge deutlich gefährlicher.

So reduzieren Sie das Risiko

• Sofort patchen: Update mit höchster Priorität auf alle Clients verteilen
• E-Mail-Gateway: riskante Dateitypen (ISO, LNK, Archive) prüfen und blockieren
• Awareness: Mitarbeitende aktuell für Phishing-Anhänge sensibilisieren

2) Outlook und Word: Angriff schon in der Vorschau

Fünf kritische Outlook-Lücken (u. a. CVE-2026-70242, alle CVSS 9.8) erlauben Codeausführung, sobald eine E-Mail im Lesebereich angezeigt wird – kein Klick, kein Öffnen eines Anhangs nötig. In Word ermöglicht CVE-2026-70300 dasselbe über ein präpariertes WordPerfect-Dokument. Ausgenutzt werden die Lücken bisher nicht.

Business-Takeaway: E-Mail-Adressen sind leicht zu finden. Ein Angriff über die Vorschau ist billig und skaliert gut.

So reduzieren Sie das Risiko

• Microsoft 365 Apps und Office zeitnah aktualisieren
• Update-Kanäle prüfen: Sind alle Clients im passenden Kanal?
• Achtung Mac: Für Office LTSC für Mac 2021/2024 fehlen einzelne Updates noch

3) Exchange, Active Directory und SharePoint

• CVE-2026-70571 (Exchange Server, CVSS 8.1): Codeausführung ohne Anmeldung über eine präparierte E-Mail. Microsoft stuft eine Ausnutzung als „wahrscheinlicher“ ein.
• CVE-2026-70229 (Active Directory Domain Services, CVSS 8.1): Codeausführung auf Domain Controllern unter bestimmten Netzwerkkonfigurationen.
• CVE-2026-102866 (SharePoint, CVSS 8.1): Übernahme einer fremden Identität über manipulierte Proof-Tokens.

Warum das fürs Business kritisch ist: Domain Controller und Exchange sind die Kronjuwelen jeder Windows-Umgebung. Wer sie kontrolliert, kontrolliert das Unternehmen.

So reduzieren Sie das Risiko

• Wartungsfenster jetzt planen: DCs, Exchange und SharePoint nicht bis zum nächsten Monat liegen lassen
• Exchange nicht direkt exponieren, wo es vermeidbar ist
• Monitoring auf ungewöhnliche Aktivitäten an DCs und Exchange schärfen

4) Wurmfähige Lücken im Netzwerk

Die Zero Day Initiative zählt 59 potenziell wurmfähige Schwachstellen – ausnutzbar ohne Anmeldung und ohne Nutzerinteraktion. Betroffen sind u. a. DHCP-Server (CVE-2026-96934), Network Policy Server (CVE-2026-100222, CVE-2026-85806), MSMQ, Microsoft QUIC und das Remote Desktop Gateway. Eine Wurm-Kampagne ist bislang nicht bekannt.

So reduzieren Sie das Risiko

• Server-Rollen priorisieren: DHCP, NPS und RD Gateway zuerst patchen
• Angriffsfläche reduzieren: nicht benötigte Dienste wie MSMQ deaktivieren
• Segmentierung: Wer muss diese Dienste überhaupt erreichen?

5) .NET: Umgehung von App Control

CVE-2026-108398 (CVSS 8.8) war vorab öffentlich bekannt und erlaubt angemeldeten Angreifern, Windows Defender Application Control (WDAC) auszuhebeln. Einen Workaround gibt es nicht.

Business-Takeaway: Besonders relevant für Umgebungen, die auf Application Whitelisting setzen – hier sollte das .NET-Update zügig folgen.

6) Adobe: drei Bulletins mit CVSS 10.0

Adobe hat parallel 174 Lücken geschlossen. Drei Bulletins enthalten Schwachstellen mit CVSS 10.0, u. a. ColdFusion (APSB26-144), Adobe Commerce (APSB26-153) und Experience Manager (APSB26-152). Aus dem Internet erreichbare Systeme gehören hier ganz nach vorn.

Support-Ende: Diese Systeme bekommen bald nichts mehr

Für einige Windows-Versionen war der Oktober-Patchday der letzte. Geräte, die darauf weiterlaufen, bleiben ab November ungepatcht – und das bei dieser Lückenflut.

• Windows 11 24H2 Home/Pro: letztes Update im Oktober 2026
• Windows 10 Enterprise LTSB 2016: letztes Update im Oktober 2026
• Windows 11 23H2 Enterprise/Education: letztes Update am 10.11.2026
• Windows Server 2022: Ende des Mainstream-Supports, Extended Support bis Oktober 2031
• Windows 11 25H2 Home/Pro: Updates bis Oktober 2027

Tipp: Ein Blick ins Inventar lohnt sich jetzt. Gerade Home- und Pro-Geräte im Mittelstand laufen oft unbemerkt auf alten Versionsständen.

Der rote Faden im Oktober 2026

KI findet Lücken schneller, als klassisches Patchmanagement sie schließen kann. Patchdays mit vierstelligen CVE-Zahlen werden damit zur neuen Normalität. Wer nicht untergehen will, braucht eine feste Reihenfolge statt Bauchgefühl.

Executive-Checkliste

1. Windows Shell (CVE-2026-96951) sofort auf allen Clients schließen
2. Office / Microsoft 365 Apps direkt danach aktualisieren (Outlook-Vorschau-Lücken)
3. Domain Controller, Exchange, SharePoint zeitnah im geplanten Wartungsfenster patchen
4. DHCP, NPS, RD Gateway, MSMQ priorisieren, ungenutzte Dienste abschalten
5. Internet-exponierte Adobe-Systeme (ColdFusion, Commerce) sofort aktualisieren
6. Firewalls, VPN- und Mail-Gateways prüfen – auch Fortinet, Citrix und Ivanti haben bereits ausgenutzte Lücken geschlossen
7. Auslaufende Windows-Versionen identifizieren und upgraden
8. Patch-Prozess automatisieren und an aktiv ausgenutzten Lücken (CISA KEV) ausrichten

Ebenfalls aktuell: Neben Windows und Office ist auch PHP betroffen. Alles zur kritischen Lücke lesen Sie in unserem Beitrag PHP2Shell: Kritische PHP-Lücken gefährden Webserver weltweit.

Quellen: Security-Insider, Infosecurity Magazine, Infopoint Security