Microsoft behebt rekordverdächtige 1.411 Sicherheitslücken am Oktober-2026-Patchday, darunter aktiv ausgenutzte Windows-Shell-Zero-Day

Microsoft veröffentlichte am 13. Oktober 2026 die Oktober-2026-Patch-Tuesday-Sicherheitsupdates und schloss dabei rekordverdächtige 1.411 Sicherheitslücken in Windows, Azure und .NET — das bislang größte monatliche Sicherheits-Patch-Paket des Unternehmens. Das Update enthält drei Zero-Day-Schwachstellen, von denen eine bereits aktiv in freier Wildbahn ausgenutzt wird.

Der enorme Umfang spiegelt einen bewussten Strategiewechsel in Microsofts Vorgehensweise bei der Fehlersuche wider. Das Unternehmen führt die Zunahme auf den erweiterten Einsatz KI-gestützter Schwachstellen-Scanner zurück, mit denen deutlich mehr Sicherheitslücken identifiziert werden können, bevor Angreifer sie ausnutzen.

Die aktiv ausgenutzte Zero-Day-Schwachstelle trägt die Kennung CVE-2026-96951 und ist ein Security-Feature-Bypass in Windows Shell, der es Angreifern ermöglicht, den Mark-of-the-Web-Schutz (MotW) zu umgehen. MotW ist der Mechanismus, mit dem Windows aus dem Internet heruntergeladene Dateien als potenziell unsicher markiert. Durch das Ausnutzen dieses Bypasses können Angreifer heruntergeladene Dateien ohne Sicherheitswarnungen ausführen — ein effektives Werkzeug für Phishing- und Malware-Verteilungskampagnen. Microsoft hat bisher weder Details zur Ausnutzung noch Angaben zum Entdecker veröffentlicht.

Die beiden anderen Zero-Days wurden vor der Verfügbarkeit von Patches öffentlich bekannt, ohne dass bislang eine aktive Ausnutzung beobachtet wurde. CVE-2026-108398, entdeckt von Google-Project-Zero-Forscher James Forshaw, ermöglicht es einem Angreifer, Windows Defender Application Control (WDAC) zu umgehen und nicht autorisierten Code in einem geschützten Prozess auszuführen. Die dritte Schwachstelle, CVE-2026-92707, ist eine Denial-of-Service-Lücke mittlerer Schwere in MessagePack-CSharp, einer weit verbreiteten .NET-Serialisierungsbibliothek.

Unter den 70 kritischen Schwachstellen dieses Monats stechen hervor: eine Remote-Code-Execution-Lücke in Windows Active Directory Domain Services (CVE-2026-70229), zwei Spoofing-Schwachstellen in Active Directory Federation Services, ein RCE-Bug in Azure App Service (CVE-2026-77900) sowie eine Elevation-of-Privilege-Lücke im Linux-Kernel unter Azure (CVE-2026-62840).

Sicherheitsteams sollten das Einspielen des Patches für CVE-2026-96951 aufgrund der aktiven Ausnutzung priorisieren. Unternehmen, die WDAC als Sicherheitsgrenze nutzen, sollten CVE-2026-108398 als dringend behandeln. Azure-gehostete Workloads sollten die App-Service- und Event-Grid-Patches für internetexponierte Dienste bewerten.

Wie BleepingComputer berichtet, schließt die Oktober-Zahl 348 weitere Schwachstellen nicht ein, die Microsoft Anfang des Monats außerhalb des Patch Tuesday behoben hatte — womit der wahre Oktober-Gesamtwert bei rund 1.759 behobenen Sicherheitslücken liegt.