Microsoft hat die Sicherheitsupdates für Oktober 2026 veröffentlicht, um 1.411 Schwachstellen zu beheben – laut einem Bericht von BleepingComputer die größte monatliche Anzahl, die das Unternehmen je bekannt gegeben hat. Das Paket umfasst 70 als „kritisch“ eingestufte Schwachstellen, darunter 57 Schwachstellen zur Remotecodeausführung, 11 Schwachstellen zur Rechteerweiterung und zwei Schwachstellen zur Umgehung von Schutzmechanismen.
Die Schwachstellen, die mit den Patch-Tuesday-Updates behoben wurden, verteilen sich auf 677 Schwachstellen zur Rechteerweiterung, 317 Schwachstellen zur Remotecodeausführung, 254 Schwachstellen zur Offenlegung von Informationen, 73 Schwachstellen zur Verursachung eines Denial-of-Service-Zustands, 40 Schwachstellen zur Umgehung von Sicherheitsfunktionen sowie 28 Spoofing-Schwachstellen.
Drei Zero-Day-Schwachstellen
Das Paket umfasst drei Schwachstellen, die Microsoft als Zero-Day-Schwachstellen eingestuft hat. Die Schwachstelle CVE-2026-96951 in der Windows Shell wurde aktiv ausgenutzt und ermöglicht durch das Einschleusen von Befehlen die Umgehung der Funktion Mark of the Web. Microsoft veröffentlichte keine Einzelheiten dazu, welche Akteure sie ausgenutzt haben oder wie die Angriffe durchgeführt wurden.
Die Schwachstelle CVE-2026-108398 im .NET Framework war öffentlich bekannt und ermöglicht es einem authentifizierten Angreifer, Einschränkungen von Windows Defender Application Control zu umgehen und Code innerhalb eines geschützten Prozesses auszuführen, ohne dass eine Benutzerinteraktion erforderlich ist. Entdeckt wurde die Schwachstelle von James Forshaw von Google Project Zero.
Microsoft behebt außerdem die Schwachstelle CVE-2026-92707 in MessagePack-CSharp. Dabei handelt es sich um eine öffentlich bekannte Denial-of-Service-Schwachstelle, die über das Netzwerk ausgenutzt werden kann.
Supportende für mehrere Windows-Versionen
Microsoft gab am selben Tag das Supportende für Windows 11, Version 24H2, in den Editionen Home und Pro sowie für Windows 10 Enterprise LTSB 2016 bekannt. Das Oktober-Update 2026 ist das letzte Sicherheitsupdate für diese Versionen. Damit wird der Wechsel auf unterstützte Versionen zu einer unmittelbaren Sicherheitsfrage für die betroffenen Unternehmen und Nutzer.
Das Unternehmen hatte zuvor erklärt, dass Windows 11 23H2 Enterprise, Education und IoT Enterprise ab dem folgenden Monat keine Sicherheitsupdates mehr erhalten werden.
Was ändert sich praktisch für Sicherheitsteams?
Mit diesem Update-Paket führte Microsoft eine experimentelle Methode zur Priorisierung von Patches ein, bei der ähnliche Schwachstellen zu „Risikogruppen“ zusammengefasst werden. Das Unternehmen veröffentlichte für Oktober 15 Gruppen, darunter 136 Schwachstellen im Zusammenhang mit Windows-Dateisystemen, Speicher und Sicherungen, 135 Schwachstellen im Zusammenhang mit Office-Dokumenten und E-Mail-Clients, 131 Schwachstellen in den Bereichen Grafik, Medien und Inhaltsverarbeitung, 109 Schwachstellen an Berechtigungsgrenzen im Windows-Kernel sowie 103 Schwachstellen im Zusammenhang mit Installation, Bereitstellung und Update-Diensten.
Microsoft erklärt, dass diese Gruppen nicht automatisch bedeuten, dass die darin enthaltenen Schwachstellen die gefährlichsten sind. Das tatsächliche Risiko hängt von der Ausnutzung in Angriffen, dem Schweregrad und der Art ab, wie ein Unternehmen das Produkt verwendet. Daher bleibt der Mechanismus experimentell und ergänzt die bestehenden Empfehlungen zur Patch-Priorisierung, anstatt sie zu ersetzen.
Umfang der Zahlen
Die Zahl 1.411 bezieht sich ausschließlich auf Schwachstellen, für die Microsoft am selben Patch Tuesday Korrekturen veröffentlicht hat. Weitere 348 Schwachstellen, die das Unternehmen bereits früher im Oktober in Produkten und Diensten wie Azure API Center, Azure App Service, Azure Event Grid, Microsoft Exchange Server und Microsoft Partner Center behoben hatte, sind darin nicht enthalten.
Der Anstieg der Zahl macht eine Priorisierung nicht überflüssig: Die aktiv ausgenutzte Schwachstelle sowie Schwachstellen, die exponierte Systeme oder Systeme mit weitreichenden Berechtigungen betreffen, verdienen eine dringende Behandlung, bevor versucht wird, die umfangreiche Liste auf einmal abzuarbeiten. Der Beitrag enthält jedoch keine vollständigen Angaben zu allen betroffenen Produkten oder internen Bereitstellungsplänen. Daher ist es notwendig, vor der Festlegung der Reihenfolge die Microsoft-Bulletins heranzuziehen und die Umgebung des jeweiligen Unternehmens zu bewerten.