Microsofts Patch Tuesday im Oktober behebt mehr als 1.400 Schwachstellen, darunter eine Windows-Sicherheitslücke, die bereits ausgenutzt wird.
Die am 13. Oktober veröffentlichten Sicherheitsupdates decken Windows, Office, .NET und weitere Microsoft-Produkte ab. Für Sicherheitsteams besteht die unmittelbare Herausforderung darin, zu ermitteln, welche betroffenen Systeme dringend korrigiert werden müssen, und gleichzeitig die Updates auf betriebliche Probleme zu testen.
Die Veröffentlichung übertrifft den bisherigen Höchststand im September von knapp 1.000 behobenen Fehlern. Laut der Oktoberanalyse der Zero Day Initiative, behebt sie außerdem mehr Schwachstellen, als Microsoft in jedem vorherigen vollständigen Jahr geschlossen hat.
Microsoft baut die KI-gestützte Schwachstellenforschung mit Tools wie seinem Multi-Model-Agenten-Scanning-Framework mit dem Codenamen MDASH aus. Allerdings identifiziert Microsofts Forschungsupdate auch Validierung und Behebung als Einschränkungen: Die Entdeckung weiterer potenzieller Schwachstellen führt nicht automatisch zu mehr bereitstellbaren Korrekturen.
„Hunderte CVEs in einer einzigen Veröffentlichung waren früher die Ausnahme; heute sind sie die Grundlage. Ist KI dafür verantwortlich? Teilweise. Sie beschleunigt die Fehlersuche auf beiden Seiten, sodass Anbieter mehr Schwachstellen finden und beheben und Forscher sie ebenfalls schneller entdecken“, sagte Dustin Childs, Leiter der Abteilung Threat Awareness bei der Zero Day Initiative, gegenüber eSecurity Planet in einem Kommentar. „Die Menge ist nicht mehr die eigentliche Geschichte. Entscheidend ist, dass die Entdeckung schneller skaliert als die Ausnutzung. Teams, die Schwachstellen daher nach der schieren CVE-Anzahl statt nach ihrer Ausnutzbarkeit priorisieren, verschwenden ihre Kapazitäten auf die falschen Fehler.“
Die Zero-Days, die sofortige Priorisierung erfordern
Sicherheitsteams sollten zunächst die aktiv ausgenutzte Windows-Shell-Schwachstelle priorisieren und anschließend zwei öffentlich bekannt gemachte Sicherheitslücken aus der Veröffentlichung bewerten. Die öffentliche Bekanntgabe erhöht die Sichtbarkeit für Angreifer, doch für keine der beiden zusätzlichen Schwachstellen wurde zum Zeitpunkt der Veröffentlichung eine aktive Ausnutzung gemeldet.
Die als CVE-2026-96951 erfasste Schwachstelle mit einem CVSS-Score von 8,8 ermöglicht es Angreifern, den Windows-Schutz Mark of the Web (MotW) zu umgehen.
„Angreifer können speziell präparierte Dateien über Phishing-E-Mails, Sofortnachrichten oder bösartige Websites verbreiten; zur Ausnutzung ist lediglich eine Benutzerinteraktion erforderlich“, erklärte Jack Bicer, Director of Vulnerability Research bei Action1. „Die Schwachstelle kann als erster Zugangspunkt für umfassendere Angriffe dienen, indem sie erwartete Sicherheitswarnungen unterdrückt und potenziell bösartige Inhalte die Schutzprüfungen umgehen lässt.“
Die Cybersecurity and Infrastructure Security Agency (CISA) hat die Schwachstelle bereits in ihren Katalog der bekannten ausgenutzten Schwachstellen aufgenommen.
Zwei weitere in der Veröffentlichung enthaltene Schwachstellen waren bereits vor dem 13. Oktober öffentlich bekannt:
- CVE-2026-108398: Eine Umgehung der .NET-Framework-Sicherheitsmechanismen (CVSS 8,8), durch die Angreifer mit geringen Berechtigungen Windows Defender Application Control (WDAC) umgehen können. Action1-Präsident Mike Walters warnte, die Schwachstelle sei „als Angriffstechnik nach einer Kompromittierung besonders gefährlich, da Angreifer mit bereits bestehendem lokalem Zugriff Sicherheitsbeschränkungen ohne Benutzerinteraktion umgehen können.“
- CVE-2026-92707: Eine öffentlich bekannt gemachte MessagePack-CSharp-Denial-of-Service-Schwachstelle , die den Speicher erschöpfen kann, wenn Anwendungen speziell präparierte, nicht vertrauenswürdige Daten deserialisieren. Die Erreichbarkeit aus der Ferne und die Authentifizierungsanforderungen hängen von der Konfiguration der Anwendung ab. Die Beratung des Drittanbieters wurde am 17. September veröffentlicht; Korrekturen sind in den Versionen 2.5.303 und 3.1.9 verfügbar.
Kritische Risiken für Outlook und die Netzwerkausführung
Unter den Dutzenden behobenen kritischen Schwachstellen stellen Fehler im E-Mail-Client eine überproportional große betriebliche Gefahr dar. CVE-2026-70242 und CVE-2026-97016 haben beide einen CVSS-Score von 9,8. Laut der Analyse von Action1 könnte ein nicht authentifizierter Angreifer Code ausführen, wenn eine speziell präparierte E-Mail über den Lesebereich von Outlook verarbeitet wird – ohne dass der Empfänger einen Anhang öffnen oder auf einen Link klicken muss.
„Das Risiko ist einfach: Ein Mitarbeiter muss keinen Fehler machen, damit diese Schwachstelle ausgenutzt werden kann. Eine bösartige E-Mail allein könnte ausreichen“, stellte Walters in Bezug auf CVE-2026-97016 fest.
„Microsoft Outlook und Word bleiben häufige Angriffsvektoren. Speziell präparierte E-Mails oder Dokumente können Angreifern ermöglichen, ohne jegliche Benutzerinteraktion vollständige Kontrolle über den Rechner eines Opfers zu erlangen“, ergänzte Amol Sarwate, Leiter der Sicherheitsforschung und von REDLab bei Cohesity.
Auch Netzwerkdienste sind schwerwiegenden Bedrohungen aus der Ferne ausgesetzt, darunter CVE-2026-105016, ein mit 9,8 bewerteter Heap-Überlauf in Microsoft QUIC, der die nicht authentifizierte Remote-Codeausführung unter Windows 11, Windows Server und .NET ermöglicht.
So sollten Sicherheitsteams die Updates priorisieren
Die Anzahl der Schwachstellen entspricht nicht unmittelbar der Zahl der Updates, die ein Unternehmen bereitstellen muss. Mehrere CVEs können durch dasselbe kumulative Update behoben werden, und die Gefährdung hängt von den installierten Produkten, Versionen und aktivierten Diensten ab. Sicherheitsteams sollten die Veröffentlichung zunächst ihren eigenen Systemen zuordnen, bevor sie Bereitstellungsprioritäten festlegen.
Beginnen Sie mit den betroffenen Windows-Systemen, die CVE-2026-96951 ausgesetzt sind und bei denen die Ausnutzung bereits bestätigt wurde. Bewerten Sie anschließend kritische Schwachstellen in Outlook und Netzwerkdiensten anhand der tatsächlichen Angriffswege: Welche E-Mail-Clients verarbeiten nicht vertrauenswürdige Nachrichten, welche Dienste sind erreichbar und welche Systeme unterstützen sensible Daten oder wichtige Geschäftsabläufe?
Auch die öffentlich bekannt gemachte Umgehung des .NET Framework verdient Aufmerksamkeit, insbesondere dort, wo Windows Defender Application Control die Ausführung von Software einschränkt. Bei MessagePack-CSharp sollten Anwendungsverantwortliche Abhängigkeiten und Deserialisierungspfade prüfen; es sollte nicht davon ausgegangen werden, dass ein Windows-Update allein eine betroffene Anwendung korrigiert.
Microsoft hat außerdem explorative Risikogruppen vorgeschlagen, in denen CVEs zusammengefasst werden, die ähnliche Bewertungen von Bereitstellung und Gefährdung erfordern. Diese vorläufigen Gruppierungen können wiederholte Analysen reduzieren, ersetzen jedoch weder die individuelle Bewertung von Schwachstellen noch Microsofts Update-Empfehlungen.
Für Unternehmensverteidiger sollte die Bereitstellung gezielte Tests, einen Wiederherstellungsplan und die Überprüfung umfassen, dass die betroffenen Systeme die Korrekturen erhalten haben. Bestätigen Sie die installierten Versionen, prüfen Sie fehlgeschlagene Installationen und führen Sie gegebenenfalls einen erneuten Scan durch. Für alle zurückgestellten Updates sollte es einen Verantwortlichen, eine dokumentierte Begründung und eine Frist zur Behebung geben.
Das praktische Ziel besteht darin, die ausnutzbare Gefährdung zu reduzieren und gleichzeitig wichtige Dienste am Laufen zu halten. Eine rekordverdächtige Veröffentlichung macht die Priorisierung wertvoller, doch die Risikobewertung muss zu einer abgeschlossenen und überprüften Behebung führen.
Weiterlesen: Erweitern Sie Ihre Patch-Prüfung über Microsoft hinaus mit den kritischen Korrekturen für Cisco Smart Software Manager On-Prem und den Prüfungen, die Administratoren vor dem Upgrade durchführen sollten.