Microsoft schließt im Oktober 1.413 Schwachstellen – zwei Zero-Days, einer aktiv ausgenutzt

Die Masse der Fehler entfällt auf Windows mit 1.102 Einträgen. Es folgen 134 für Office, 61 in den Developer Tools (Dev Div), 36 für SharePoint Server, 22 für SQL Server, 15 in Azure, sieben für Exchange Server und vier in Defender; 32 verteilen sich auf verschiedene sonstige Kategorien. Zusätzlich hat Microsoft einen von Cisco Talos gemeldeten Fehler erneut veröffentlicht: CVE-2026-21413, geführt als Remote-Code-Execution-Lücke in der Raw Image Extension.

Beide Zero-Days sind Umgehungen von Sicherheitsmechanismen. CVE-2026-96951 (CVSS 8.8) steckt im Windows Shell und wird aktiv ausgenutzt. Entdeckt wurde die Lücke nach Microsofts Angaben durch Anthropics KI Claude. Sie zielt auf das Mark-of-the-Web-Kennzeichen (MOTW), das Windows an aus dem Internet heruntergeladene Dateien anheftet und mit dem die potenzielle Gefährlichkeit einer Datei klassifiziert wird. Nach Darstellung der Forscher von Automox lassen sich Dateien so präparieren, dass sie an MOTW vorbeikommen – und damit auch an allen nachgelagerten Prüfungen, die darauf aufbauen: SmartScreen, die geschützte Ansicht in Office, die Makro-Sperre in Office, Smart App Control unter Windows 11 und die Rückfrage des Attachment Managers.

“MOTW ist wie der Aufkleber auf einem Paket: Jeder Wachmann im Gebäude prüft den Aufkleber, nicht das Paket selbst”, schrieben die Automox-Forscher in ihrem Blogbeitrag zum Oktober-Update. “Dieser Fehler liefert das Paket ohne Aufkleber aus. Das Ergebnis ist eine Datei, die sich öffnet, als hätte der Nutzer sie lokal selbst erstellt. Kein Warndialog, keine schreibgeschützte Ansicht, keine Makro-Sperre. Ein einziger Fehler schaltet mehrere Kontrollen gleichzeitig ab.”

Der zweite Zero-Day, CVE-2026-108398 (CVSS 8.8), betrifft die Sicherheitsfunktionen des .NET Framework und gilt als weniger brisant: Er erfordert lokalen Zugriff und ein Konto mit geringen Rechten, Microsoft bewertet eine Ausnutzung als “weniger wahrscheinlich”. Automox beschreibt die Lücke als untrusted search path im .NET Framework: Ein Angreifer legt ein präpariertes .NET-Assembly auf dem Endpunkt ab, registriert es zum Laden in einem geschützten Prozess und führt dann Code innerhalb dieses Prozesses aus, ohne Windows Defender Application Control (WDAC) auszulösen.

Mike Walters, Präsident und Mitgründer von Action1, hält die Schwachstelle vor allem als Technik nach einer bereits erfolgten Kompromittierung für gefährlich. “Eine erfolgreiche Ausnutzung könnte die Systemintegrität beeinträchtigen, vertrauliche Geschäftsinformationen offenlegen, Endpunktschutz schwächen und kritische Abläufe stören”, schrieb er im Blog von Action1. Aktive Ausnutzung sei unbestätigt und die Reife von Exploit-Code unbewiesen, die öffentliche Offenlegung erhöhe aber die Dringlichkeit. Da es keinen offiziellen Workaround gebe, sollten die Updates vorrangig auf allen betroffenen Windows-Endpunkten und -Servern ausgerollt werden, insbesondere in WDAC-geschützten Umgebungen; ungepatchte Systeme sollten auf verdächtiges Laden von Assemblies und unautorisierte Ausführung überwacht werden.

Als kritisch hoben die Automox-Forscher zudem eine RCE-Lücke im Lesebereich von Outlook hervor, CVE-2026-70242 (CVSS 9.8). Angreifer können eine E-Mail so konstruieren, dass beim Anzeigen im Lesebereich ein Heap-basierter Pufferüberlauf ausgelöst wird – ohne dass die Nachricht geöffnet werden muss, ohne Authentifizierung und ohne jede Interaktion. “Fehler im Vorschaufenster tauchen alle paar Jahre auf und erregen Aufmerksamkeit, weil E-Mail die Eingangstür ist”, so die Forscher. Adressen ließen sich leicht aus Datenleck-Sammlungen und von Unternehmenswebsites beschaffen, das gezielte Angreifen koste damit fast nichts.

Dustin Childs, Head of Threat Awareness der Zero Day Initiative (ZDI) bei TrendAI, warnte in seiner monatlichen Patch-Übersicht vor CVE-2026-102866 (CVSS 8.1), einer Rechteausweitung in Microsoft Office SharePoint. “Es handelt sich um eine fehlerhafte Prüfung kryptografischer Signaturen”, sagte Childs. Ein Angreifer, der ein gültiges Proof-Token eines Zielnutzers erlange, könne es verändern, an den Server schicken und sich als dieser Nutzer authentifizieren. Die einzige Hürde sei, zunächst an das Token zu gelangen – wofür es aber mehrere Wege gebe.

Ebenfalls hervorgehoben hat Childs CVE-2026-65674 (CVSS 8.8), eine RCE-Lücke im Microsoft SQL Server, die “die höchste Ausnutzbarkeitsbewertung aller SQL-Server-Fehler dieses Monats” habe. Es gehe um die Deserialisierung nicht vertrauenswürdiger Daten: Ein authentifizierter Angreifer verbindet sich mit einem betroffenen SQL Server und sendet eine speziell präparierte Anfrage, um Code auf dem Server auszuführen; Nutzerinteraktion ist nicht nötig. Jeder direkt mit dem Internet verbundene SQL Server solle unbedingt geprüft werden.

Hinzu kommt eine Heap-basierte Pufferüberlauf-Lücke in Microsoft QUIC, CVE-2026-105016 (CVSS 9.8). Sie erlaubt es einem nicht authentifizierten Angreifer, über das Netzwerk Schadcode auszuführen, und betrifft mehrere Microsoft-Produkte, darunter Windows 11, Windows Server, .NET und Visual Studio. “Ein Angreifer könnte diese Schwäche ausnutzen, indem er ein speziell präpariertes Netzwerkpaket an einen betroffenen Dienst sendet, und dabei möglicherweise die Kontrolle über das Zielsystem erlangen, ohne Authentifizierung oder Nutzerinteraktion”, sagte Jack Bicer, Director of Vulnerability Research bei Action1. Eine erfolgreiche Ausnutzung könne zur Ausführung von Schadcode und zur Übernahme betroffener Dienste führen, sensible Geschäfts- und Kundendaten offenlegen oder verändern, Abläufe stören und Wiederherstellungskosten sowie Vertrauensverlust nach sich ziehen.

Fachleute von Nightwing gaben allgemeine Empfehlungen zum Umgang mit dem Oktober-Paket: Exchange, .NET und Windows 11 sollten gepatcht werden, ohne auf reguläre Wartungsfenster zu warten. Das Exchange-Update vom 2. Oktober für CVE-2026-96940 sei auf allen On-Premises- und Hybrid-Servern einzuspielen, bei den .NET-Framework-Laufzeiten sei zu prüfen, dass die aktuellen RCE-Fixes samt Neustarts ankommen, und Windows 11 24H2 Home/Pro solle von seinem letzten Sicherheitsupdate wegmigriert werden – mit Tests von VPN-, VDI-, Storage- und Secure-Boot-Pfaden.

Für Exchange Server stehen vier Sicherheitsupdates bereit (KB5129955/56/57/58), die jeweils eine einzelne als hoch eingestufte CVE mit CVSS 8.8 über Exchange 2016, 2019 und die Subscription Edition hinweg beheben. Angesichts der Geschichte von Exchange als hochwertiges Angriffsziel sollten sie laut Nightwing als nahezu kritisch behandelt werden. Die kumulativen Updates KB5127648 und KB5126653 bringen Windows 11 24H2, 25H2, 26H2 und 23H2 auf abgestimmte Build-Stände mit im Wesentlichen identischen Sicherheitsinhalten; sie seien als verbindliche Sicherheitsbasis zu verstehen, und das Patch-Compliance-Reporting solle Build-Nummern erfassen, nicht nur das Vorhandensein von KBs.

Mehrere Fachleute raten dazu, sich nicht von der schieren Menge beeindrucken zu lassen. “Ich habe zuletzt argumentiert, dass Zahlen bedeutungslos sind”, sagte Tyler Reguly, Associate Director für Security R&D bei Fortra, in öffentlich per E-Mail verbreiteten Kommentaren. “Die Zahl dieses Monats, 1.413, ist da nicht anders. Es gibt aber Zahlen, die etwas bedeuten. Sechsundzwanzig zum Beispiel ist die Anzahl der Microsoft-CVEs aus dem Jahr 2026, die im KEV-Katalog der CISA aufgetaucht sind. Im vergangenen Jahr waren es 30, im Jahr davor 32. Das heißt, weniger als 1 Prozent der von Microsoft in diesem Jahr gepatchten Schwachstellen sind als ausgenutzt bekannt.”

Der Anstieg betrifft nicht nur Microsoft: Einer Analyse von Echo zufolge ist das Volumen monatlicher CVE-Offenlegungen binnen zwei Jahren um 145 Prozent gewachsen – von 3.173 im Juni 2024 auf 7.765 im Juni 2026. Als Gründe nennt Echo die Ausweitung der CVE-Programme insgesamt sowie zunehmend die KI-gestützte Schwachstellensuche. Auf Jahresbasis stiegen die Offenlegungen von 30.949 im Jahr 2023 auf 49.979 im Jahr 2025; 2026 ist nach den bisherigen Zahlen auf dem Weg, auch diesen Wert zu übertreffen.

“Ist KI schuld? Teilweise”, sagte ZDI-Experte Childs. “Sie beschleunigt die Fehlersuche auf beiden Seiten des Zauns, also finden und beheben Hersteller mehr Fehler, und Forscher finden sie schneller. Aber KI erschafft diese Fehler nicht aus dem Nichts. Sie verkürzt nur die Zeit zwischen der Existenz einer Schwachstelle und dem Moment, in dem jemand sie bemerkt.” Entscheidend sei, dass die Entdeckung schneller skaliere als die Ausnutzung: “Teams, die nach reiner CVE-Zahl priorisieren statt nach Ausnutzbarkeit, verbrennen ihre Zeit mit den falschen Fehlern. Patcht, was nachgewiesen, priorisiert und öffentlich ist, und behandelt alles andere als die neue Normalität dieses Monats.”