Microsoft behebt Rekordzahl von 1.413 Schwachstellen, darunter aktiv ausgenutzter Windows-Bug

Microsoft hat in diesem Monat Sicherheitsupdates für eine Rekordzahl von 1.413 Schwachstellen in seinem Software-Ökosystem herausgegeben. Das Patch-Tuesday-Release vom Oktober 2026 enthält Korrekturen für kritische Fehler in Windows, Office und Serverprodukten. Eine Schwachstelle in der Windows Shell wird bereits von Angreifern in freier Wildbahn ausgenutzt.

Was passiert ist

Die schiere Menge an Patches markiert eine neue Baseline für die Sicherheitswartung von Microsoft und übertrifft frühere monatliche Rekorde. Von den behobenen 1.413 Problemen betreffen 1.102 Windows, während andere Office, Developer Tools, SharePoint Server und SQL Server beeinträchtigen. Mehr als 670 dieser Fehler ermöglichen eine Rechteausweitung (Privilege Escalation), und über 300 erlauben Remote Code Execution. Siebzig sind mit dem Schweregrad „Kritisch“ eingestuft.

Zu den dringendsten Fixes gehört CVE-2026-96951, eine Command-Injection-Schwachstelle in der Windows Shell mit einem CVSS-Score von 8,8. Microsoft bestätigte, dass Bedrohungsakteure diesen Fehler aktiv ausnutzen, um die Mark-of-the-Web-(MOTW)-Schutzmechanismen zu umgehen. Dieses Sicherheitsfeature warnt Benutzer normalerweise, wenn sie Dateien öffnen, die aus dem Internet heruntergeladen wurden. Durch das Umgehen von MOTW können Angreifer Benutzer dazu bringen, bösartigen Code per E-Mail-Anhang oder Link auszuführen, ohne Standardwarnungen auszulösen. Die US-Behörde Cybersecurity and Infrastructure Security Agency (CISA) hat diese Schwachstelle in ihren Katalog bekannter ausgenutzter Schwachstellen aufgenommen und Bundesbehörden verpflichtet, sie bis zum 16. Oktober 2026 zu patchen.

Ein weiterer wichtiger Fix adressiert CVE-2026-108398, eine Schwachstelle aufgrund eines nicht vertrauenswürdigen Suchpfads im .NET Framework. Dieser Fehler ermöglicht es authentifizierten Angreifern, die Windows Defender Application Control (WDAC) zu umgehen und nicht autorisierte Anwendungen auszuführen. Im Gegensatz zur Shell-Schwachstelle erfordert dieser Exploit keine Benutzerinteraktion, sobald der Angreifer lokalen Zugriff hat. Er dient als wirksame Technik nach einer Kompromittierung, die es Gegnern ermöglicht, Persistenz aufrechtzuerhalten und Code innerhalb geschützter Prozesse auszuführen. Microsoft patchte zudem einen Buffer Overflow hoher Schweregradstufe in der Raw Image Extension (CVE-2026-21413), der Remote Code Execution allein durch das Anzeigen eines Ordners mit einer präparierten Bilddatei auslösen könnte.

Wichtige Details

• Rekordvolumen: Microsoft hat 1.413 Schwachstellen gepatcht, darunter 1.102 in Windows und 134 in Office.
• Aktive Ausnutzung: CVE-2026-96951 in der Windows Shell wird in freier Wildbahn ausgenutzt, um Sicherheitswarnungen zu umgehen.
• Rechteausweitung: Über 670 Fehler ermöglichen es Angreifern, ihre Berechtigungen zu erhöhen, während mehr als 300 Remote Code Execution erlauben.
• Lokale Umgehung: CVE-2026-108398 ermöglicht es lokalen Angreifern, WDAC-Schutzmaßnahmen ohne Benutzerinteraktion zu umgehen.
• Neue Priorisierung: Microsoft hat „Risk Cohorts“ eingeführt, um Organisationen dabei zu helfen, verwandte CVEs effizienter zu gruppieren und zu bewerten.
• KI-Einfluss: Experten weisen darauf hin, dass KI sowohl die Entdeckung von Bugs als auch deren Behebung beschleunigt, was zu einer höheren Anzahl gemeldeter Schwachstellen beiträgt.

Hintergrund

Patch Tuesday ist der monatliche Zeitplan von Microsoft für die Veröffentlichung von Sicherheitsupdates. Historisch gesehen enthielten diese Releases Dutzende von Fixes, aber in den letzten Jahren stiegen die Volumina auf Hunderte. Der Begriff „Mark of the Web“ (MOTW) bezieht sich auf ein Windows-Sicherheitsfeature, das Dateien taggt, die aus dem Internet heruntergeladen wurden. Anwendungen prüfen dieses Tag, um zu entscheiden, ob sie im eingeschränkten Modus laufen sollen oder den Benutzer warnen müssen. Das Umgehen von MOTW ist ein häufiges Ziel für Angreifer, da es ihnen ermöglicht, Malware bereitzustellen, die für das Betriebssystem sicher erscheint.

Windows Defender Application Control (WDAC) ist ein richtlinienbasiertes Feature, das einschränkt, welche Anwendungen auf einem Gerät ausgeführt werden dürfen. Es wird oft in Hochsicherheitsumgebungen eingesetzt, um die Ausführung nicht autorisierter Software zu verhindern. Schwachstellen, die WDAC umgehen, sind besonders gefährlich, weil sie eine zentrale Verteidigungsebene untergraben. Das Konzept der „Risk Cohorts“ ist Microsofts neuester Versuch, IT-Teams bei der Bewältigung der überwältigenden Anzahl von CVEs zu unterstützen. Anstatt jede Schwachstelle isoliert zu betrachten, gruppieren Kohorten Fehler, die ähnliche Mitigationsstrategien oder Angriffsvektoren teilen, was eine schnellere Triage ermöglicht.

Warum das wichtig ist

Für Teams, die selbst gehostete Software auf Windows-Servern betreiben oder Microsoft-Entwicklungstools nutzen, verlangt dieser rekordverdächtige Patch-Zyklus sofortige Aufmerksamkeit. Die aktive Ausnutzung der Windows-Shell-Schwachstelle bedeutet, dass Verzögerungen das Risiko einer Kompromittierung erheblich steigern. Da der Angriffsvektor Social Engineering per E-Mail oder Instant Messaging umfasst, können selbst gut gehärtete Server verwundbar sein, wenn Administratoren oder Benutzer mit bösartigen Dateien interagieren. Die Anforderung an Bundesbehörden, bis zum 16. Oktober zu patchen, unterstreicht die Dringlichkeit, die von nationalen Sicherheitsbehörden anerkannt wird.

Das Volumen der Patches hebt zudem eine sich wandelnde Landschaft hervor, in der KI die Entdeckung von Schwachstellen beschleunigt. Wie Dustin Childs von der Zero Day Initiative bemerkte: „Hunderte von CVEs in einem einzigen Release waren früher die Ausnahme; jetzt sind sie die Baseline.“ Das bedeutet, dass IT-Leiter sich nicht darauf verlassen können, jeden einzelnen Fehler sofort zu patchen. Stattdessen müssen sie basierend auf Ausnutzbarkeit und aktiven Bedrohungen priorisieren. Das Ignorieren aktiv ausgenutzter Schwachstellen zugunsten von Items mit geringerem Risiko lässt Systeme anfällig für bekannte Angriffe. Umgekehrt verbrennt man Ressourcen, wenn man zu viel Zeit für CVEs mit geringem Risiko aufwendet, ohne die tatsächliche Bedrohungsexposition zu reduzieren.

Darüber hinaus zeigt das Vorhandensein von Fehlern in Komponenten wie der Raw Image Extension, dass sich Angriffsflächen über traditionelle Serverrollen hinaus erstrecken. Ein Dateiserver oder eine Workstation, die für die Medienverarbeitung genutzt wird, könnte allein durch das Browsen eines Verzeichnisses kompromittiert werden. Für DevOps-Ingenieure, die CI/CD-Pipelines auf Windows verwalten, stellt die .NET-Framework-Schwachstelle ein Risiko dar, wenn Build-Agents geteilt werden oder lokale Zugriffssteuerungen schwach sind. Das Verständnis dieser spezifischen Vektoren hilft Teams, Patches dort anzuwenden, wo sie am wichtigsten sind, anstatt einen pauschalen Update-Versuch zu unternehmen, der den Betrieb unnötigerweise stören könnte.

Was Sie tun können

• Priorisieren Sie das Patching von CVE-2026-96951 und CVE-2026-108398 sofort aufgrund der aktiven Ausnutzung und öffentlichen Bekanntmachung.
• Überprüfen Sie Ihr Inventar an Windows Servern und Workstations, um sicherzustellen, dass alle Instanzen im bevorstehenden Wartungsfenster enthalten sind.
• Schulen Sie Benutzer über die Risiken beim Öffnen unerwarteter Anhänge, da die Shell-Schwachstelle auf Benutzerinteraktion beruht.
• Nutzen Sie die neue Dokumentation zu „Risk Cohorts“ von Microsoft, um verbleibende Patches zu gruppieren und Ihren Bewertungsprozess zu straffen.
• Stellen Sie sicher, dass WDAC-Richtlinien korrekt konfiguriert sind, und überwachen Sie kritische Systeme auf Anzeichen von Umgehungsversuchen.
• Prüfen Sie auf Updates für die Raw Image Extension auf Maschinen, die Bilddateien verarbeiten, um Thumbnail-basierte Exploits zu verhindern.