Patch Tuesday im Oktober 2026: 1.413 CVEs, 1 ausgenutzter Zero-Day

Microsofts Patch Tuesday -Veröffentlichung vom Oktober 2026 behebt 1.413 Microsoft-CVEs und setzt damit nur einen Monat nach dem bisherigen Höchststand von 974 im September einen neuen Rekord. Das entspricht einem Anstieg von etwa 45 % gegenüber dem Vormonat. Die Veröffentlichung umfasst Windows, Microsoft 365 und Office-Apps, SharePoint Server, SQL Server, Exchange Server, Azure, Defender und Entwicklertools. Microsoft veröffentlicht außerdem eine nicht zu Microsoft gehörende CVE erneut.

Eine Schwachstelle wird bereits aktiv ausgenutzt: CVE-2026-96951, eine Umgehung einer Sicherheitsfunktion in Windows Shell. Eine zweite, CVE-2026-108398 im .NET Framework, wurde öffentlich bekannt gemacht, daher sind technische Details bereits verfügbar, obwohl Microsoft bislang keine Angriffe beobachtet hat. Beide sind als „Wichtig“ eingestuft, was unterstreicht, warum der Ausnutzungsstatus Vorrang vor reinen Schweregradbezeichnungen haben sollte.

Da mehr als 1.400 Microsoft-CVEs bewertet werden müssen, benötigen IT-Teams eine risikobasierte Einführung, die mit den Schwachstellen beginnt, die Angreifer am ehesten ausnutzen werden, und mit den Systemen, bei denen eine Kompromittierung den größten Schaden anrichten würde.

Microsoft-Patch-Übersicht für Oktober 2026

Von den 1.408 CVEs mit Schweregradbewertungen stufte Microsoft 78 als kritisch, 1.329 als wichtig und 1 als moderat ein. Alle 1.408 erfordern eine Aktion des Kunden in Form eines zu installierenden Updates.

Rechteausweitung und Remotecodeausführung machen etwa 70 % der Veröffentlichung aus:

Schwachstellen zur Rechteausweitung können eingeschränkten Zugriff in die vollständige Kontrolle über ein System verwandeln, und Schwachstellen zur Remotecodeausführung können diesen ersten Zugriff ermöglichen. Bei fast 1.000 dieser beiden Typen in einem einzigen Release müssen IT-Teams wissen, welche betroffenen Systeme exponiert sind und welche über privilegierten Zugriff verfügen.

Wo die Schwachstellen konzentriert sind

Windows ist für mehr als drei Viertel der CVEs dieses Monats verantwortlich. Office und SharePoint Server kommen zusammen auf weitere 170, und auf Entwicklertools entfallen 61 in 60 separaten Updates.

Die von Microsoft veröffentlichten Zahlen für diese Version weichen leicht voneinander ab: In den Versionshinweisen werden 1.413 CVEs genannt, die Aufschlüsselung nach Produktfamilien ergibt insgesamt 1.414, und die veröffentlichte CVE-Liste enthält 1.411. In diesem Beitrag wird 1.413 verwendet, also die Zahl aus Microsofts Versionshinweisen.

Eine ausgenutzte Zero-Day-Schwachstelle und eine öffentlich bekannt gemachte Schwachstelle

Microsoft hat diesen Monat zwei CVEs mit besonderen Einstufungen zur Ausnutzbarkeit gekennzeichnet. Beides sind Sicherheitsfeature-Umgehungsschwachstellen, die als Wichtig eingestuft sind.

Sicherheitslücken zur Umgehung von Schutzfunktionen führen selten allein zu einem vollständigen Angriff. Sie wirken in der Regel mit einer anderen Schwachstelle zusammen, etwa Remote Code Execution oder Rechteausweitung, indem sie eine Schutzmaßnahme entfernen, die den nächsten Schritt sonst blockieren oder davor warnen würde. Durch das Patchen wird ein Schritt unterbunden, den Angreifer möglicherweise bereits nutzen.

CVE-2026-96951 sollte auf jedem Windows-Endpunkt zuerst gepatcht werden, unabhängig von seiner Bewertung als „Wichtig“. Wenn Mark of the Web umgangen wird, kann eine bösartige Datei, die per E-Mail oder Chat gesendet wurde, ohne die Warnungen geöffnet werden, die Benutzer normalerweise sehen. Der Benutzer muss die Datei immer noch öffnen, daher passt diese Schwachstelle natürlich zu Phishing und zu den dateibasierten Schwachstellen, die später in diesem Beitrag behandelt werden.

CVE-2026-108398 wurde nicht ausgenutzt, aber da die Schwachstelle öffentlich bekannt gemacht wurde, sind technische Details bereits verfügbar. Dadurch steigt die Wahrscheinlichkeit einer Ausnutzung. Ein Angreifer benötigt zunächst ein Konto auf dem System. Daher ist dieses Update besonders wichtig für Organisationen, die auf Windows Defender Application Control oder eine ähnliche Positivliste setzen, um einen Eindringling einzudämmen, der bereits Fuß gefasst hat.

Keine der beiden CVEs erscheint zum Zeitpunkt der Veröffentlichung im Katalog der Known Exploited Vulnerabilities von CISA. Ergänzungen folgen nach einer solchen Einstufung oft innerhalb weniger Tage, prüfen Sie den Katalog daher bei der Planung Ihres Rollouts.

Kritische Schwachstellen, die Sie als Nächstes priorisieren sollten

Microsoft stufte in diesem Monat 78 Schwachstellen als kritisch ein. 65 davon sind Schwachstellen zur Remotecodeausführung, und die übrigen 13 betreffen Rechteausweitung oder Spoofing. Anstatt sie als eine Gruppe zu behandeln, sollten Sie sie nach der betroffenen Infrastruktur, ihrem Expositionsgrad und den Risiken eines Angriffs priorisieren.

Windows DHCP und netzwerkseitige Dienste

Fünf kritische Sicherheitslücken zur Remotecodeausführung betreffen Windows DHCP Server:

• CVE-2026-96934

• CVE-2026-88117

• CVE-2026-88120

• CVE-2026-88119

• CVE-2026-88171

DHCP Server ist üblicherweise über interne Netzwerksegmente hinweg erreichbar, was ihn zu einem häufigen Ausgangspunkt für eine netzwerkweite Kompromittierung macht. Die Version enthält außerdem eine kritische Sicherheitslücke zur Remotecodeausführung im DHCP Client (CVE-2026-70250).

Mehrere andere netzwerkseitig erreichbare Dienste weisen in diesem Monat kritische Schwachstellen zur Remotecodeausführung auf:

QUIC ist die Grundlage für HTTP/3 und andere Netzwerktransporte, daher sind diese Schwachstellen vor allem bei internetseitigen Windows Server-Workloads relevant. Remote Desktop Gateway befindet sich am Netzwerkrand vieler Fernzugriffsbereitstellungen. Ermitteln Sie, wo diese Dienste aktiviert sind, und setzen Sie extern erreichbare Systeme ganz oben auf die Prioritätenliste.

Identitäts- und Zertifikatsinfrastruktur

Kritische Sicherheitslücken betreffen auch die Dienste, die Authentifizierung, Föderation und Zertifikatregistrierung steuern:

Jede davon erscheint in dieser Veröffentlichung nur einmal, betrifft aber jeweils ein hochwertiges Ziel. Ein kompromittierter Domänencontroller oder Zertifikatregistrierungsdienst kann einem Angreifer Zugriff auf die gesamte Umgebung verschaffen. AD FS-Spoofing kann das föderierte Single Sign-On-Vertrauen untergraben, auf das viele Unternehmen angewiesen sind. Domänencontroller, AD FS-Server und NDES-Server sollten nach dem ausgenutzten Zero-Day zu den ersten Servern gehören, die bewertet werden.

Exchange Server und Bereitstellungsinfrastruktur

Exchange Server (CVE-2026-70571) und Windows Deployment Services (CVE-2026-88174) weisen jeweils eine kritische Schwachstelle zur Remotecodeausführung auf. SharePoint Server weist eine kritische Schwachstelle zur Rechteausweitung auf (CVE-2026-102866).

Exchange und SharePoint enthalten oft sensible Unternehmensdaten und sind mit anderen internen Ressourcen verbunden. Deployment Services können sich auf jeden Endpunkt auswirken, der für Imaging oder Bereitstellung darauf angewiesen ist. Priorisieren Sie Bereitstellungen mit externer Exponierung oder Zugriff auf hochwertige Daten.

Hyper-V und VBS Enclave

Zu den Updates dieses Monats gehören Codeausführung auf Hostebene in Hyper-V und kritische Schwachstellen zur Rechteausweitung in Windows Virtualization-Based Security (VBS) Enclave und zentralen Kernelkomponenten.

Hyper-V-Hosts unterstützen häufig Produktions-Workloads mit strengen Verfügbarkeitsanforderungen. Verwenden Sie gestaffelte Tests und abgestimmte Wartungsfenster, wenn eine sofortige Bereitstellung Services beeinträchtigen könnte, aber lassen Sie diese Zeitfenster Host-Patches nicht lange verzögern.

Microsoft 365 und Office-Anwendungen

Office-Anwendungen sind für 34 der kritischen Sicherheitslücken zur Remotecodeausführung in diesem Monat verantwortlich:

Excel sticht hervor, mit einer ungewöhnlich hohen Konzentration kritischer Schwachstellen in einer einzigen App. Schädliche Dokumente bleiben einer der häufigsten phishinggetriebenen Wege in Benutzerumgebungen. Dieses Risiko ist in diesem Monat höher, weil die ausgenutzte Umgehung von Mark of the Web die Warnungen entfernen kann, die Benutzer normalerweise bei heruntergeladenen Dateien sehen würden. Visio steht auf Patch-Prioritätslisten oft weiter unten als Word, Excel oder Outlook, birgt aber dasselbe dokumentbasierte Risiko.

Medien-, Grafik- und Druckertreiber

Zehn kritische Schwachstellen zur Remotecodeausführung betreffen Medien-, Grafik- und Dokument-Rendering-Komponenten, darunter Media Foundation, GDI+, Codecs, Windows PDF, Text Shaping und Raw Image Extension (CVE-2026-96202 und CVE-2026-96943). Diese können durch das Öffnen eines präparierten Bildes, Videos, einer Schriftart oder PDF ausgelöst werden, ganz ohne Makros oder Skripting.

Der PostScript-Druckertreiber weist außerdem drei kritische Sicherheitslücken zur Remotecodeausführung auf: CVE-2026-70153, CVE-2026-70147 und CVE-2026-108467. Druckertreiber sind weit verbreitet und werden in Patch-Zyklen leicht übersehen. Stellen Sie daher sicher, dass sie zusammen mit dem Rest der Veröffentlichung ausgerollt werden.

So priorisieren Sie Patches für Oktober 2026

Kein fester Zeitplan passt zu jeder Umgebung. Verwenden Sie diese Stufen als Ausgangspunkt und passen Sie sie dann an Gefährdung, geschäftliche Auswirkungen und Testanforderungen an.

Innerhalb von 72 Stunden patchen

• CVE-2026-96951 (Windows Shell) auf jedem Windows-Endpunkt, gefolgt von CVE-2026-108398 (.NET Framework)

• Windows-DHCP-Server und DHCP-Client

• Remote-Desktop-Gateway, NDES und Active Directory-Domänendienste

• Microsoft QUIC bei internetseitig erreichbaren Windows Server-Workloads

• Exchange Server und SQL Server, beginnend mit extern erreichbaren Systemen oder Systemen, die sensible Daten enthalten

• Hyper-V-Hosts

• Jede CVE, die später dem CISA-KEV-Katalog hinzugefügt oder als „Exploitation More Likely“ gekennzeichnet wird

Innerhalb von 1 bis 2 Wochen patchen

• Office-Anwendungen, beginnend mit Excel, dann Outlook, PowerPoint, Word und Visio

• Kernel- und VBS-Enclave-Sicherheitslücken zur Rechteausweitung

• Medien-, Grafik- und Dokument-Rendering-Komponenten sowie der PostScript Printer Driver

• Visual Studio, Visual Studio Code und .NET auf Entwickler-Workstations

• Azure- und Entra-Sicherheitslücken zur Rechteausweitung

Der Expositionsgrad sollte dennoch die Standard-Zeitleiste außer Kraft setzen. Benutzer, die regelmäßig externe Dokumente öffnen, benötigen möglicherweise früher Office-Updates.

Regelmäßiger Patch-Zyklus

• Wichtige Sicherheitslücken zur Rechteausweitung und Offenlegung von Informationen in Komponenten mit begrenzter Exposition

• Probleme, die nur den lokalen Zugriff und Gerätetreiber auf Systemen mit eingeschränktem physischem Zugriff betreffen

• Nicht internetzugängliche Systeme mit vorhandenen Ausgleichsmaßnahmen

Bemerkenswerte Updates von Drittanbietern

Microsoft veröffentlicht in diesem Monat nur eine einzige nicht von Microsoft stammende CVE erneut, gegenüber 25 im September: CVE-2026-21413, eine Schwachstelle zur Remotecodeausführung in Raw Image Extension, zugeschrieben an Cisco Talos. Sie betrifft dieselbe Komponente wie die beiden oben behandelten kritischen, Microsoft-eigenen Schwachstellen in Raw Image Extension (CVE-2026-96202 und CVE-2026-96943), sodass alle drei im Rahmen einer einzigen Behebungsmaßnahme behandelt werden können.

Microsoft Edge hat in dieser Veröffentlichung keine neuen CVEs ausgeliefert. Teams sollten dennoch Aktualisierungen für Browser, Entwicklertools und Drittanbieteranwendungen nach ihren eigenen Zeitplänen prüfen und sie im gleichen Workflow für das Schwachstellenmanagement halten wie Betriebssystem-Updates. Getrennte Prozesse können blinde Flecken hinterlassen, selbst wenn das Windows-Patching aktuell ist.

Warum der Patch Tuesday im Oktober für IT-Teams wichtig ist

Die Veröffentlichung im Oktober wirft zwei operative Probleme auf, die über einzelne CVEs hinausgehen.

1. Das Datenvolumen macht eine manuelle Triage unrealistisch

Dies ist die zweite Rekordveröffentlichung in Folge, und der Sprung von 974 auf 1.413 CVEs in einem Monat lässt kaum Spielraum für eine manuelle Prüfung. Teams müssen schnell wissen, auf welchen Geräten betroffene Software ausgeführt wird, welche Schwachstellen aktiv ausgenutzt werden und welche Systeme Identitäten, Fernzugriff oder kritische Workloads unterstützen. Das hängt von einer genauen Hardware- und Softwareinventarisierung ab.

Microsoft reagiert auch auf das Volumen. Mit dieser Veröffentlichung hat das Unternehmen Risikokohorten eingeführt, eine experimentelle Methode, verwandte CVEs anhand gemeinsamer Expositionsfragen zu gruppieren, etwa welche Systeme nicht vertrauenswürdige Dateien verarbeiten. Microsoft weist darauf hin, dass Kohorten keine Rangfolge der Gefährdung erstellen, daher sollten Ausnutzungsstatus und Exposition weiterhin die Arbeitsreihenfolge bestimmen.

2. Einige Systeme haben gerade ihr letztes Sicherheitsupdate erhalten

Das Update vom Oktober ist das letzte Sicherheitsupdate für Windows 11 Version 24H2 Home und Pro sowie für Windows 10 Enterprise LTSB 2016. Windows 11 Version 23H2 Enterprise, Education und IoT Enterprise erreichen im November das Ende der Updates. Geräte mit diesen Editionen erhalten nach ihrem Enddatum keine Fixes mehr, egal wie schnell ein Team Patches einspielt. Identifizieren Sie sie jetzt und planen Sie Upgrades, denn der Zero-Day-Fix dieses Monats könnte der letzte Schutz sein, den sie erhalten.

Wie Splashtop AEM Ihnen dabei helfen kann, Patches zu priorisieren und bereitzustellen

Ein Release mit 1.413 CVEs und einer aktiv ausgenutzten Zero-Day-Sicherheitslücke stellt IT-Teams vor zwei Aufgaben: herauszufinden, was in ihrer Umgebung relevant ist, und die richtigen Updates schnell bereitzustellen. Splashtop AEM (autonomes Endpunktmanagement) übernimmt beides über eine zentrale Konsole.

• Gefährdete Geräte finden: Splashtop AEM scannt Windows- und macOS-Endpunkte kontinuierlich auf CVEs, einschließlich Schwachstellen im Katalog der Known Exploited Vulnerabilities von CISA, zusammen mit dem Patch-Status sowie dem Hardware- und Softwareinventar.

• Priorisieren Sie, was Angreifer nutzen: KI-gestützte CVE-Zusammenfassungen und Risikosignale helfen Teams dabei, Schwachstellen wie CVE-2026-96951 gegenüber dem Rest des Releases vorzuziehen.

• Schneller bereitstellen und überprüfen: Patchen von Betriebssystemen und Drittanbieteranwendungen in Echtzeit, automatisierte Richtlinien, Wartungsfenster und Update-Ringe ermöglichen es Teams, Office- oder Server-Updates zunächst an einer kleineren Gruppe von Geräten zu testen. Teams können die Bereitstellung dann ausweiten und nachverfolgen, welche Installationen erfolgreich waren oder fehlgeschlagen sind.

• Bestehende Workflows stärken: Splashtop AEM kann Microsoft Intune erweitern, indem es Echtzeit-Patching, CVE-Transparenz und Remediation hinzufügt. Teams, die ein RMM verwenden, können es nutzen, um Lücken bei der Patch-Transparenz und Automatisierung zu schließen.

Bleiben Sie dem Rekordvolumen am Patch Tuesday mit Splashtop AEM einen Schritt voraus

Die Veröffentlichung im Oktober zeigt, wie schnell Patch-Management zu einem Triage-Problem wird. Mit 1.413 CVEs und einem bereits ausgenutzten Zero-Day müssen IT-Teams exponierte Geräte finden, die dringendsten Updates zuerst bereitstellen und bestätigen, dass jeder Endpunkt abgedeckt ist.

Starten Sie eine kostenlose Testversion von Splashtop AEM, um zu sehen, welche Endpunkte anfällig sind, Updates mit hohem Risiko zu priorisieren und Patches schneller bereitzustellen.