Microsoft: 1.411 Lücken, Windows-Lücke wird ausgenutzt

Microsoft hat am 13. Oktober 2026 Sicherheitsupdates für Windows und weitere Produkte veröffentlicht und bestätigt, dass die Windows-Shell-Lücke CVE-2026-96951 schon vor Bereitstellung der Korrektur ausgenutzt wurde. Die Patchday-Zählung von BleepingComputer erfasst 1.411 an diesem Tag behobene Schwachstellen, darunter 70 kritische.

Für Administratoren ergibt sich eine Reihenfolge: Zuerst sind betroffene Windows-Clients mit Kontakt zu fremden Dateien und Inhalten zu aktualisieren. Danach rücken erreichbare Serverrollen und Exchange-Installationen in den Blick. Neben der bereits ausgenutzten Lücke waren weitere Schwachstellen vor Veröffentlichung der Updates bekannt; ihre öffentliche Bekanntheit allein bedeutet jedoch nicht, dass auch ihre Ausnutzung bestätigt ist.

Warum betroffene Windows-Clients Vorrang haben

CVE-2026-96951 ist eine Umgehung einer Sicherheitsfunktion der Windows Shell. Sie kann den Schutz durch Mark of the Web aushebeln, mit dem Windows Inhalte aus dem Internet kennzeichnet. Besonders relevant sind deshalb Clients, auf denen Beschäftigte heruntergeladene Dateien, Mailanhänge oder andere Inhalte aus nicht vertrauenswürdigen Quellen öffnen. Dass die Lücke bereits ausgenutzt wurde, gibt ihr bei der Verteilung ein höheres Gewicht als einer allein aufgrund ihres Schweregrads auffälligen Schwachstelle.

Diese Priorität gilt für tatsächlich betroffene Systeme. Vor dem Rollout müssen Administratoren die installierte Windows-Version mit den verfügbaren Oktober-Updates abgleichen; nach der Verteilung zählt der erfolgreiche Installationsstatus. Ein freigegebenes Paket schützt keinen Client, auf dem die Installation aussteht oder fehlgeschlagen ist. Gerade bei mobilen Geräten und selten verbundenen Rechnern kann zwischen Freigabe und wirksamer Aktualisierung eine Lücke bleiben.

Über die bisherigen Angriffe sind keine belastbaren Angaben zu einem typischen Opferkreis oder einem konkreten Ablauf veröffentlicht. Daraus folgt keine Entwarnung für andere Windows-Systeme. Es begrenzt lediglich, wie eng sich die erste Gruppe eingrenzen lässt: Bestätigte Ausnutzung, betroffene Version und Kontakt zu fremden Inhalten sind die tragfähigen Kriterien für die erste Aktualisierungswelle.

Was die Gesamtzahl über das Risiko aussagt

Die 1.411 Schwachstellen bilden den Umfang einer bestimmten Patchday-Zählung ab, keine Rangliste der Risiken in einem Unternehmen. Darin stehen unterschiedliche Produkte, Fehlerarten und Voraussetzungen für einen Angriff nebeneinander. Ein Fehler in einer nicht eingesetzten Komponente hat für einen Betrieb eine andere Bedeutung als eine Lücke in einem erreichbaren Dienst. Auch die Einstufung als kritisch beantwortet noch nicht, ob die betreffende Funktion installiert und für Angreifer zugänglich ist.

Bei der Gesamtzahl gibt es zudem eine Abweichung: Die Auswertung von Tenable zählt 1.407 CVEs und 69 kritische Lücken. Sie hebt unter anderem CVE-2026-70229 in Active Directory und CVE-2026-70571 in Exchange Server als kritische Fehler hervor, die eine Ausführung von Code ermöglichen können. Die Differenz zwischen den Gesamtsummen lässt sich aus diesen Angaben allein keiner bestimmten Produktgruppe zuordnen; für die Patch-Reihenfolge sind die betroffenen Komponenten und Angriffswege entscheidender.

Die Zählung von BleepingComputer beschränkt sich auf Schwachstellen, die Microsoft am Patchday veröffentlichte. Bereits früher im Oktober behobene Fehler, darunter solche in Exchange Server, sind darin nicht enthalten. Zugleich gehören am Patchday veröffentlichte Exchange-Lücken zur aktuellen Update-Runde. Wer die Gesamtzahl als vollständige Liste aller im Oktober nötigen Korrekturen behandelt, kann daher verfügbare Updates für seine Umgebung übersehen.

Welche Server und Exchange-Systeme folgen

Nach den gefährdeten Clients sollten Server mit erreichbaren Diensten priorisiert werden. Bei Active Directory ist zu klären, welche Domänencontroller die betroffene Funktion bereitstellen und aus welchen Netzen sie angesprochen werden können. Bei anderen Windows-Servern machen die installierte Rolle, der mögliche Angriffsweg und erforderliche Rechte den Unterschied. Ein intern abgeschotteter Dienst hat eine andere Exposition als eine Rolle, die Anfragen aus weniger vertrauenswürdigen Netzen entgegennimmt.

Exchange braucht eine eigene Prüfung statt eines pauschalen Platzes am Ende der Warteschlange. Der genannte Fehler bei der Verarbeitung von E-Mails betrifft eine andere Angriffsfläche als die Windows-Shell-Lücke auf einem Client. Für einen erreichbaren Mailserver kann deshalb eine rasche Aktualisierung parallel zur Client-Welle sinnvoll sein. Maßgeblich sind die eingesetzte Exchange-Version, die dafür bereitgestellten Sicherheitsupdates und die Frage, ob das System die betroffenen Inhalte verarbeitet.

Auch bereits früher im Monat veröffentlichte Exchange-Korrekturen gehören in diese Bestandsaufnahme. Ein Server kann beim aktuellen Patchday auf dem vorgesehenen Stand sein und dennoch ein zuvor bereitgestelltes Sicherheitsupdate vermissen lassen. Umgekehrt sollte ein Exchange-System nicht allein wegen seines Produktnamens vor jede andere Serverrolle rücken: Eine tatsächlich erreichbare, betroffene Active-Directory-Funktion kann im eigenen Netz dringlicher sein.

Die Reihenfolge endet beim installierten Update

Für die laufende Reaktion ist der Abstand zwischen angekündigter und installierter Korrektur entscheidend. Windows-Clients, Server und Exchange folgen in Unternehmen häufig unterschiedlichen Verteilungswegen und Wartungsfenstern. Eine belastbare Übersicht verbindet deshalb betroffene Produktversionen mit den jeweils passenden Updates und dem Installationsstatus der einzelnen Systeme. So werden Ausnahmen sichtbar, die eine hohe Priorität haben, obwohl die reguläre Verteilung bereits begonnen hat.

Nach der ersten Welle verschiebt sich die Aufmerksamkeit auf fehlgeschlagene Installationen und Systeme, die während des Rollouts nicht erreichbar waren. Bei der ausgenutzten Windows-Shell-Lücke bleibt jeder betroffene, ungepatchte Client ein offener Punkt. Für Server bestimmt anschließend die konkrete Erreichbarkeit der betroffenen Rolle, welche noch ausstehenden Updates als Nächstes in das Wartungsfenster müssen.

Lesen Sie auch: