Oktober-Patchday 2026: eine ausgenutzte Lücke, Neustart auch mit Hotpatch

Eine Datei per Chat kann die Warnung umgehen, wenn der Empfänger mitwirkt

Am Patchday, dem 13. Oktober 2026, hat Microsoft eine Lücke geschlossen, deren Ausnutzung das Unternehmen bereits erkannt hat. Sie steckt in der Windows Shell, also dem Teil von Windows, der Dateien und Ordner anzeigt und öffnet. Betroffen sind Windows 10, Windows 11 und Windows Server von 2012 R2 bis 2025. Der Angriffsweg, den Microsoft beschreibt, ist alltäglich: eine präparierte Datei per Chat oder E-Mail.

Dazu kommen kritische Lücken in Exchange Server, in Office und im DHCP-Server von Windows Server, der im Netzwerk die Adressen an Rechner, Drucker und Telefone vergibt.

Auf einen Blick

• Ausgenutzt: CVE-2026-96951 in der Windows Shell (CVE ist die öffentliche Kennnummer einer Sicherheitslücke), Schweregrad „Wichtig“. Sie umgeht einen Schutz vor Dateien aus dem Internet, braucht aber die Mitwirkung eines Nutzers.
• Kritisch, ohne gemeldete Ausnutzung: DHCP-Server, Exchange Server, PowerPoint und Excel.
• Neustart: Auch Windows 11 Enterprise 25H2 mit Hotpatch und Windows Server 2025 starten im Oktober 2026 neu.
• Bekannte Probleme (Stand 14. Oktober 2026): zwei behoben, eines neu (Remotedesktop für Nutzer ohne Administratorrechte).
• Letzte Updates für Windows 11 24H2 Home und Pro sowie für Exchange Server 2016 und 2019 im ESU-Programm (Extended Security Updates, Sicherheitsupdates über das Supportende hinaus).

Die ausgenutzte Lücke: „Wichtig“, nicht „Kritisch“

Microsoft stuft CVE-2026-96951 mit dem Schweregrad „Wichtig“ ein, eine Stufe unter „Kritisch“. Das Szenario, das Microsoft beschreibt: Angreifer könnten eine speziell erstellte Datei per Chat oder E-Mail schicken und müssten den Empfänger „zu Handlungen verleiten“.

Was die Lücke aushebelt, heißt Mark of the Web: ein Vermerk an Dateien aus dem Internet und aus E-Mail-Anhängen, durch den Windows und Office vor dem Öffnen warnen oder die Datei zunächst geschützt anzeigen. Wer die Lücke ausnutzt, kann diese Verteidigung laut Microsoft umgehen.

Im Security Update Guide, Microsofts Verzeichnis der Sicherheitslücken, steht dazu nur der Vermerk „Ausnutzung erkannt“, ohne Angaben zu Zielen.

Geschlossen wird die Lücke mit dem regulären Oktober-Update, einen Sonderweg gibt es nicht. Bis es auf jedem Gerät läuft, hilft ein kurzer Hinweis an die Belegschaft, bei unerwarteten Dateien in Chat und Mail zurückhaltend zu sein. Warum Ausgenutztes vor höher Bewertetem kommt: Patchday-Reihenfolge: Warum die 7,0 vor der 9,8 kommt.

Kritische Lücken: drei Stellen, die kleine Betriebe treffen können

Für den Oktober 2026 führt Microsoft 142 Lücken als „Kritisch“, für keine meldet es eine Ausnutzung. Die vier, die wir hier beschreiben, tragen bei Microsoft den Titel „Remote Code Execution“: Ein Angreifer könnte damit aus der Ferne eigenen Programmcode auf dem betroffenen System ausführen.

DHCP-Server

In manchen kleinen Netzen vergibt ein Windows Server die Adressen, in anderen der Router. Die Lücke CVE-2026-96934 betrifft Windows Server mit DHCP-Rolle, unter anderem die Versionen 2012 R2, 2022 und 2025. Microsoft schreibt, dass weder eine Anmeldung noch eine Mitwirkung eines Nutzers nötig ist, und gibt einen CVSS-Wert von 9,8 an. CVSS, das gängige Punktesystem für Sicherheitslücken, misst die technische Schwere auf einer Skala bis 10. Microsofts Stufen sind eine eigene Bewertung: Die PowerPoint-Lücke unten heißt schon mit 7,5 Punkten „Kritisch“.

Exchange Server im eigenen Haus

Über CVE-2026-70571 (CVSS 8,1) könnte ein Angreifer ohne Anmeldung laut Microsoft eine speziell erstellte E-Mail an den Server schicken und damit eine interne Umwandlung von Inhalten auslösen. Die Angriffskomplexität nennt Microsoft hoch. Betroffen sind Exchange Server Subscription Edition (SE), Exchange 2019 mit CU14 oder CU15 und Exchange 2016 mit CU23 (CU steht für Cumulative Update, den installierten Sammelstand).

Für Exchange SE heißt das Update KB5129955. Exchange 2016 und 2019 bekommen Oktober-Updates nur, wenn der Betrieb für den zweiten ESU-Zeitraum angemeldet ist. Laut Microsofts Ankündigung ist der Oktober 2026 dafür der letzte Monat, danach erscheinen Updates nur noch für SE. Microsoft empfiehlt den Umstieg so bald wie möglich. Hintergrund: ESU-Ende für Exchange 2016 und 2019.

Wer nur Exchange Online nutzt, ist laut Microsoft bereits geschützt. In Hybrid-Umgebungen gehört das Update trotzdem auf den Exchange Server im Haus, auch wenn er nur noch der Verwaltung dient.

Office: PowerPoint und Excel

Bei CVE-2026-88207 in PowerPoint (CVSS 7,5) ist laut Microsoft das Vorschaufenster ein Angriffsweg, also die Vorschau, die eine Datei zeigt, ohne sie zu öffnen. Auch hier nennt Microsoft die Angriffskomplexität hoch. Bei CVE-2026-100211 in Excel (CVSS 8,8) ist die Vorschau kein Angriffsweg. Betroffen sind laut Security Update Guide die Microsoft 365 Apps sowie Office LTSC 2021 und 2024 (LTSC: Office-Versionen mit festem Funktionsumfang ohne Abo). Für Office LTSC für Mac 2021 und 2024 sind die Excel-Updates laut Microsoft „nicht sofort verfügbar“.

Neustart: Oktober ist Basis-Monat, auch mit Hotpatch

Hotpatching spielt Sicherheitsupdates im laufenden Betrieb ein, ohne Neustart. Einzelne Monate sind aber Basis-Updates, bei Microsoft Baseline genannt, und die verlangen einen Neustart. Oktober 2026 ist so ein Monat:

• Windows 11 Enterprise 25H2: Microsofts Hotpatch-Kalender führt Oktober 2026 als „Baseline (Restart)“, November 2026 wieder als Hotpatch. Hotpatch setzt dort laut Microsoft Autopatch voraus, Microsofts Dienst für die automatische Update-Verteilung.
• Windows Server 2025: Oktober 2026 ist „Baseline (Restart)“ mit KB5126646, November und Dezember 2026 laufen wieder als Hotpatch.

Zum Hotpatch-Kalender im Herbst 2026: unser Beitrag zum September-Patchday.

In seinen Hinweisen zum Patchday empfiehlt Microsoft, die Updates zügig zu installieren. Eine begrenzte Zahl von Geräten kann im Zusammenhang mit dem Update der Secure-Boot-Zertifikate einen zusätzlichen Neustart einlegen. Das Wartungsfenster sollte also etwas Luft haben.

Bekannte Probleme: zwei behoben, eines neu

Stand 14. Oktober 2026, nach Microsofts Statusseiten zu Windows-Updates (Release Health) mit Stand 13. Oktober 2026:

• Behoben mit KB5127648 (Windows 11 24H2, 25H2 und 26H2): Anwendungen, die AC-3-Audio dekodieren, konnten sich unerwartet schließen. Ebenso behoben ist ein schwarzer Bildschirm oder ein hängender Desktop nach der Anmeldung in Umgebungen mit Azure Virtual Desktop und FSLogix.
• Weiter offen: USB-Audiogeräte nach dem Standard USB Audio Class 1.0 starten unter Umständen nicht oder bleiben stumm. Microsoft führt das als „Mitigated“, es gibt also eine Umgehung, aber keine Lösung. Der Eintrag steht auch für Windows 10 22H2 und Windows Server 2025.
• Neu: Remotedesktop-Verbindungen können für Nutzer ohne Administratorrechte mit dem Fehler 0xC000000D scheitern.

Der neue Remotedesktop-Fehler

Microsoft hat den Eintrag am 13. Oktober 2026 eröffnet, als Ursprung aber das Vorschau-Update KB5124010 vom 22. September 2026 genannt. Der Fehler tritt auf Zielrechnern auf, auf denen der Administratorschutz („Administrator protection“) aktiv ist, eine Windows-Funktion, die Administratorrechte zusätzlich absichert.

Wichtig ist das für Betriebe, die Microsofts Security Baselines einsetzen, also von Microsoft empfohlene Sammlungen von Sicherheitseinstellungen. Dort wird der Administratorschutz laut Microsoft mit dem Oktober-Update standardmäßig aktiviert (Windows 11 24H2, 25H2 und 26H2). Als Workaround nennt Microsoft, den Administratorschutz vorübergehend per Intune oder Gruppenrichtlinie abzuschalten.

Was am 13. Oktober 2026 sonst endete

Einzelheiten: 13. Oktober 2026: drei Support-Enden an einem Tag. Für Windows 11 24H2 Home und Pro ist das Oktober-Update das letzte; der Weg führt auf 25H2 oder 26H2. Enterprise und Education werden bis 12. Oktober 2027 versorgt. Für Exchange 2016 und 2019 war der Oktober 2026 der letzte ESU-Monat. Für Windows Server 2012 R2 endete das dritte ESU-Jahr, ein viertes führt Microsoft nicht (Beitrag zu Server 2012). Office 2021 und Office LTSC 2021 haben laut Microsofts Lebenszyklus-Seiten am 13. Oktober 2026 ihr Ende erreicht.

Was Sie tun sollten: Reihenfolge und Kontrolle

Wenn nicht alles an einem Abend geht, ist diese Reihenfolge sinnvoll:

1. Windows Server mit DHCP-Rolle und alle Arbeitsplätze: die kritische Lücke ohne Anmeldung und die ausgenutzte Lücke. Danach neu starten, auch Geräte mit Hotpatch.
2. Exchange Server im Haus: KB5129955 für Exchange SE, auch auf Servern, die nur noch der Verwaltung dienen.
3. Office: Microsoft 365 Apps und Office LTSC auf den Oktober-Stand bringen.
4. Die übrigen Server, jeweils mit Neustart.

Ob ein Update angekommen ist, erkennen Sie an der KB-Nummer. Unter Windows steht sie im Updateverlauf (Einstellungen, Windows Update, Updateverlauf). Die Oktober-Nummern laut Microsoft:

Betreut ein Dienstleister Ihre IT, klären diese Fragen das Wesentliche:

• Welche Geräte stehen auf dem Oktober-Stand, und sind alle neu gestartet?
• Vergibt bei uns ein Windows Server die Netzwerkadressen, und hat er das Oktober-Update?
• Läuft bei uns ein Exchange Server, und ist das Oktober-Update installiert?
• Setzen wir Microsofts Security Baselines ein, und gibt es Remotedesktop-Fehler mit 0xC000000D?
• Betreiben wir AD FS, einen Anmeldedienst für Single Sign-on? Mit dem Oktober-Update setzt Microsoft dort strengere Zugriffsrechte am DKM-Container durch (Distributed Key Manager, dort verwaltet AD FS seine Schlüssel).

Was offen ist

• Wer angegriffen wird: Zu CVE-2026-96951 nennt Microsoft keine Ziele.
• Behebungstermine: Für das USB-Audio-Problem und den Remotedesktop-Fehler nennt Microsoft keinen Termin.
• Spätere Einträge: Neue Probleme werden erfahrungsgemäß oft erst Tage nach dem Patchday eingetragen. Dass am 14. Oktober 2026 keine weiteren gelistet sind, ist keine Entwarnung.
• SharePoint 2016 und 2019: Der Security Update Guide führt Oktober-Lücken für beide Versionen. Ein Sicherheitsupdate kam am Oktober-Patchday laut Microsofts Update-Historie für SharePoint (Stand 13. Oktober 2026) aber nicht, das letzte stammt vom 11. August 2026. Ob weitere folgen, ist offen (unser SharePoint-Beitrag).
• Gesamtzahl: Die Versionshinweise zum Oktober nennen im Kopf 1.413 Microsoft-CVEs, die Gesamtzeile der Tabelle 1.414.

Unsere Einschätzung

Der Oktober 2026 verlangt keinen Sonderweg: Jedes Gerät braucht sein reguläres Update und einen Neustart, auch dort, wo Hotpatch sonst den Wartungsabend spart. Zwei der drei kritischen Bereiche betreffen Server, die im Hintergrund laufen und leicht vergessen werden.

Im Patch Management unserer Managed Services spielen wir Sicherheitspatches zeitnah ein und Anwendungsupdates in Wartungsfenstern, getestet und dokumentiert.

Alle Angaben: Stand 14. Oktober 2026, nach Microsofts Seiten mit Stand 13. Oktober 2026.