Unter den mehr als 1.400 Lücken, die Microsoft am 13. Oktober geschlossen hat, wird CVE-2026-96951 (CVSS 8,8) bereits ausgenutzt: Eine präparierte Datei kann damit den Mark-of-the-Web-Schutz umgehen. Alle unterstützten Windows- und Windows-Server-Versionen sind betroffen; die CISA gab US-Behörden drei Tage zum Patchen.
Was passiert ist
Der Oktober-Patchday 2026, den Microsoft am 13. Oktober veröffentlicht hat, stellt erneut einen Rekord auf: 1.413 Schwachstellen laut The Hacker News, davon 70 kritische laut 01net. Nur eine davon kennzeichnet Microsoft als bereits ausgenutzt: CVE-2026-96951 (CVSS 8,8), eine Befehlsinjektion in der Windows Shell, mit der Angreifer Mark of the Web (MOTW) umgehen. Diese Markierung setzt Windows auf Dateien aus dem Internet oder aus E-Mails; sie löst die Warnungen von SmartScreen und die geschützte Ansicht von Office aus.
Die US-Behörde CISA hat die Lücke noch am selben Tag in ihren Katalog ausgenutzter Schwachstellen aufgenommen und Bundesbehörden eine Frist bis zum 16. Oktober gesetzt. Microsoft nennt außerdem eine Lücke in .NET Framework, CVE-2026-108398 (CVSS 8,8), eine weitere Umgehung von Schutzfunktionen, die vor dem Patch öffentlich bekannt war, aber bisher nicht in Angriffen beobachtet wurde.
Wer betroffen ist und wie Angreifer eindringen
Alle unterstützten Versionen sind betroffen: Windows 10, Windows 11 sowie Windows Server 2012 R2, 2016, 2019, 2022 und 2025, einschließlich Server Core. Der Angriff läuft nicht automatisch ab: Laut Microsoft muss das Opfer eine präparierte Datei aus einer E-Mail oder einem Messenger öffnen oder einem Link auf eine bösartige Seite folgen. Ohne MOTW-Markierung öffnet sich die Datei ohne die übliche Warnung. Auf Serverseite betrifft das vor allem Remotedesktop-Server (RDS) und Admin-Sprungserver, auf denen E-Mails gelesen und im Web gesurft wird.
Was jetzt zu tun ist
- Spielen Sie das kumulative Oktober-Update ein, zuerst auf Arbeitsplätzen und RDS-Servern, dann überall: KB5126646 (Windows Server 2025), KB5126655 (2022), KB5126651 (2019), KB5126868 (2016), KB5126836 (2012 R2), KB5127648 (Windows 11 24H2 und 25H2), KB5126657 (Windows 10 21H2 und 22H2).
- Prüfen Sie die Installation: in PowerShell mit
Get-HotFix -Id KB5126655(mit der KB Ihrer Version) oder über die Build-Revision mit(Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion').UBR. Mindeststände: 20348.5761 für Server 2022, 17763.9376 für Server 2019, 26100.33650 für Server 2025. - Filtern Sie Anhänge am Mail-Gateway: Verknüpfungen, Skripte, Disk-Images und passwortgeschützte Archive haben im Postfach Ihrer Nutzer meist nichts verloren.
- Werten Sie Ihre EDR-Alarme der letzten Tage aus und suchen Sie nach ungewöhnlichen Prozessen, die von explorer.exe oder Outlook gestartet wurden.
Unsere Einschätzung
Eine MOTW-Umgehung allein übernimmt keinen Server, entfernt aber die letzte Warnung zwischen einem bösartigen Anhang und einem Klick. Bei mehr als 1.400 Korrekturen im Monat hilft nur Priorisierung: Bereits ausgenutzte Lücken werden innerhalb weniger Tage geschlossen, beginnend mit den Rechnern, auf denen E-Mails gelesen werden.
Quellen
- Microsoft — Security Update Guide, CVE-2026-96951
- CISA — Known Exploited Vulnerabilities Catalog, CVE-2026-96951
- 01net — Plus de 1 400 failles Windows : le nouveau record monstrueux du Patch Tuesday de Microsoft
- The Hacker News — Microsoft Patches Record 1,413 Flaws, Including Exploited Windows Shell Bug
Wie wir unsere Analysen auswählen, prüfen und schreiben →
Gestohlene Zugangsdaten beginnen oft mit einer Phishing-Nachricht. Verdächtige SMS oder E-Mail erhalten? Prüfen Sie sie, bevor Sie klicken:
Sorgen, dass Ihre Server angreifbar sind? Unser Team prüft, patcht und überwacht Linux- und Cloud-Infrastrukturen rund um die Uhr.
Mit einem Experten sprechen Unsere Managed Server Services →
