Microsoft schließt 1413 Lücken : Welche Patches jetzt Vorrang haben müssen – aktive Angriffe und umgehbare Schutzmechanismen verlangen mehr als eine Sortierung nach Schweregrad

Microsoft hat am 13. Oktober 2026 Updates für 1413 Schwachstellen veröffentlicht. Darunter sind 1102 Lücken in Windows, 134 in Office, 61 in Entwicklungswerkzeugen, 36 in SharePoint-Server und 22 in SQL-Server. Diese Produktgruppen bilden jedoch nicht die gesamte Zahl ab: Mehr als 670 Schwachstellen betreffen die Ausweitung von Berechtigungen, über 300 ermöglichen entfernte Codeausführung und 250 die Offenlegung von Informationen. Mehr als 70 sind als kritisch eingestuft.

Newsletter-Hinweis: Sie interessieren sich für Informationen zu heiklen Schwachstellen? Unter https://www.kes-informationssicherheit.de/newsletter/ können Sie kostenfrei den wöchentlichen „Cyberlage | Threat Watch Newsletter“ der <kes> in Zusammenarbeit mit ConSecur abonnieren.

Die große Zahl der nun behobenen Schwachstellen macht die Bewertung und Priorisierung noch schwieriger, als sie ohnehin schon ist – trotzdem muss geprüft werden, welche zuerst behoben werden sollten. Eine bereits ausgenutzte Sicherheitslücke, mit der sich ein Schutzmechanismus umgehen lässt, kann dringlicher sein als eine höher eingestufte Schwachstelle in einer Komponente, die vor Ort gar nicht genutzt wird. Für die Reihenfolge ist deshalb entscheidend:

• Welche Systeme sind betroffen?
• Wie können Angreifer sie erreichen?
• Welche Berechtigungen brauchen Angreifer?
• Gibt es Hinweise darauf, dass eine Lücke bereits ausgenutzt wird?

Drei Schwachstellen verdienen besondere Aufmerksamkeit

Schwachstellen erhalten Kennungen im System „Common Vulnerabilities and Exposures“ (CVE); das „Common Vulnerability Scoring System“ (CVSS) bewertet ihren technischen Schweregrad auf einer Skala bis zehn. Diese Bewertung liefert jedoch naturgemäß keine Aussage darüber, wie wahrscheinlich ein Angriff auf ein bestimmtes Unternehmen ist. Drei Lücken mit unterschiedlichen Angriffswegen verdienen aber besondere Aufmerksamkeit:

• CVE-2026-96951, CVSS 8,8: Eine Befehlsinjektion in Windows Shell ermöglicht einem nicht authentifizierten Angreifer, über einen Netzwerkangriffsweg eine Sicherheitsfunktion zu umgehen. Microsoft meldet aktive Ausnutzung.
• CVE-2026-108398, CVSS 8,8: Ein nicht-vertrauenswürdiger Suchpfad im .NET Framework ermöglicht einem authentifizierten Angreifer, lokal eine Sicherheitsfunktion zu umgehen. Die Schwachstelle war bei Veröffentlichung der Updates bereits öffentlich bekannt.
• CVE-2026-92707, CVSS 5,3: Eine unzureichend kontrollierte sequenzielle Speicherallokation in MessagePack-CSharp erlaubt einem nicht authentifizierten Angreifer, über das Netzwerk einen Denial of Service (DoS) auszulösen. Auch diese Lücke war bereits öffentlich bekannt.

Damit liegen unterschiedliche Risiken vor: ein Einstieg über manipulierte Inhalte, eine Umgehung lokaler Anwendungskontrollen und eine Beeinträchtigung der Verfügbarkeit. Eine gemeinsame Bewertung allein anhand der Punktzahl würde diese Unterschiede verdecken.

Windows Shell: Angreifer umgehen die Herkunftskennzeichnung

CVE-2026-96951 betrifft den Schutz durch Mark of the Web (MOTW). Die Herkunftskennzeichnung hilft Windows und Anwendungen, Dateien aus potenziell unsicheren Quellen zu erkennen und entsprechend zu behandeln. Wird dieser Schutz umgangen, kann eine wichtige Prüfstufe beim Umgang mit heruntergeladenen oder zugesandten Inhalten entfallen.

Microsoft beschreibt Angriffe über speziell präparierte Dateien, die per E-Mail oder Sofortnachricht übermittelt werden. Dafür ist eine Handlung des Nutzers erforderlich, etwa das Anklicken eines Links oder die Interaktion mit einem schädlichen Anhang. Der Netzwerkangriffsweg bedeutet hier also nicht, dass sich jedes erreichbare Windows-System ohne Zutun eines Nutzers kompromittieren lässt.

Auch die Einordnung als Befehlsinjektion darf nicht mit einer pauschalen Zusage beliebiger Codeausführung verwechselt werden: Als konkrete Auswirkung nennt Microsoft die Umgehung der MOTW-Schutzmechanismen. Welche weiteren Angriffsschritte daraus entstehen, hängt vom jeweiligen Szenario ab.

Die US-Behörde Cybersecurity and Infrastructure Security Agency (CISA) hat die Lücke in ihren Katalog der Known Exploited Vulnerabilities (KEV) aufgenommen. Für die erfassten US-Bundesbehörden gilt eine Behebungsfrist bis zum 16. Oktober 2026. Diese Vorgabe ist keine allgemeine Frist für deutsche Unternehmen; die bestätigte Ausnutzung ist jedoch auch für deren Priorisierung relevant.

Details zu Tätern, Zielen und konkreten Angriffskampagnen sind bislang nicht bekannt. Microsoft nennt Riku Bamba und Yuya Chudo von Fujitsu, Benoit Sevens von Anthropic sowie einen unter dem Namen yhw auftretenden Entdecker als Melder.

.NET: Anwendungskontrolle schützt nicht vor jedem Ladeweg

CVE-2026-108398 betrifft Windows Defender Application Control (WDAC). Die Anwendungskontrolle soll festlegen, welcher Code auf einem System ausgeführt werden darf. Die Lücke eröffnet einen Weg, diese Einschränkung innerhalb eines geschützten Prozesses zu umgehen.

Nach Microsofts Beschreibung kann ein authentifizierter Angreifer eine präparierte .NET-Assembly auf dem betroffenen Rechner ablegen und zum Laden durch einen geschützten Prozess registrieren. Eine Assembly enthält ausführbaren .NET-Code. Bei erfolgreicher Ausnutzung läuft dieser Code innerhalb des Prozesses, obwohl die Anwendungskontrolle ihn verhindern sollte. Zusätzliche Nutzerinteraktion ist nicht erforderlich.

Der Angriff setzt einen bereits vorhandenen lokalen Zugriff voraus. Die Lücke ist deshalb besonders als weiterer Schritt nach einer ersten Kompromittierung relevant. Mike Walters, Präsident und Mitgründer von Action1, warnt, eine erfolgreiche Ausnutzung könne „die Systemintegrität beeinträchtigen, sensible Geschäftsinformationen offenlegen, die Endpunktabwehr schwächen und kritische Abläufe stören“. Diese Aussage beschreibt zwar mögliche Folgen eines erfolgreichen Angriffs, aber keine bestätigte Angriffskampagne – öffentlich bekannte technische Informationen und aktive Ausnutzung sind getrennt zu bewerten. Microsoft schreibt die Entdeckung James Forshaw von Googles Project Zero zu.

MessagePack-CSharp: Auch Verfügbarkeit braucht Priorität

Bei CVE-2026-92707 steht die Verfügbarkeit im Vordergrund: MessagePack-CSharp ist eine Bibliothek zur Serialisierung von Daten, also zur Umwandlung strukturierter Informationen in ein übertragbares oder speicherbares Format. Die gemeldete Schwachstelle betrifft eine unzureichend kontrollierte Speicherallokation. Laut Beschreibung kann ein nicht authentifizierter Angreifer über das Netzwerk einen DoS auslösen; daraus lässt sich keine Remote-Code-Ausführung ableiten. Welche Eingaben und Ressourcen den Fehler konkret auslösen, geht aus den vorliegenden Angaben nicht hervor.

Für die Bewertung zählt, ob eine betroffene Anwendung die Bibliothek tatsächlich verwendet und angreifbare Verarbeitungspfade für nicht-vertrauenswürdige Daten erreichbar sind. Ein niedrigerer CVSS-Wert bedeutet nicht automatisch geringe betriebliche Bedeutung: Fällt ein geschäftskritischer Dienst aus, kann eine Verfügbarkeitslücke erhebliche Folgen haben. Microsoft nennt einen anonymen Melder.

RAW-Bilddateien: Vorschau kann schon heikel sein

Zusätzlich veröffentlicht Microsoft eine Korrektur für CVE-2026-21413. Die mit CVSS 9,8 bewertete Schwachstelle betrifft die Raw Image Extension und wird als heapbasierter Pufferüberlauf mit möglicher Remote-Code-Ausführung beschrieben. Bei einem solchen Speicherfehler werden Daten über die Grenzen eines vorgesehenen Speicherbereichs hinaus geschrieben. Je nach Ausprägung kann dies einen Absturz oder eine Manipulation des Programmablaufs ermöglichen.

Besonders relevant ist der Auslösemechanismus – Microsoft erklärt: „Die Schwachstelle kann ausgelöst werden, wenn Windows eine Miniaturansicht oder Vorschau erzeugt; der Nutzer muss die Datei nicht öffnen.“ Das bewusste Öffnen einer Bilddatei ist also keine notwendige Voraussetzung; bereits die Navigation zu einem Ordner mit einer präparierten RAW-Datei kann ausreichen, wenn Windows deren Vorschau verarbeitet. Der Angriff benötigt dennoch eine gewisse Interaktion: Der Nutzer muss zu den entsprechenden Inhalten navigieren. Für die Absicherung sind deshalb auch automatisch angestoßene Verarbeitungsschritte zu berücksichtigen.

Mehr entdeckte Lücken bedeuten nicht automatisch mehr Angriffe

Bereits im September hatte Microsoft nahezu 1000 Schwachstellen behoben. Nach Angaben von Satnam Narang, Senior Staff Research Engineer bei Tenable, wurden im laufenden Jahr mehr als 4000 CVE-Einträge durch Microsoft korrigiert. Die Rekordzahl allein sagt jedoch wenig darüber aus, welche Updates besonders dringend sind. Vorrang haben Lücken, die Angreifer auf den eigenen Systemen ausnutzen könnten und deren Folgen für den Betrieb besonders schwer wiegen.

Künstliche Intelligenz (KI) beschleunigt die Suche nach Fehlern und deren Behebung. Dustin Childs, Leiter Threat Awareness bei der Zero Day Initiative (ZDI), ordnet den Zusammenhang ein: „KI erzeugt diese Fehler nicht aus dem Nichts; sie verkürzt nur die Zeit zwischen dem Bestehen einer Schwachstelle und ihrer Entdeckung.“ Eine steigende Patchzahl kann daher auch eine leistungsfähigere Fehlererkennung widerspiegeln. Sie belegt für sich genommen weder eine entsprechende Zunahme erfolgreicher Angriffe noch eine Verschlechterung aller betroffenen Produkte. Zugleich wächst für IT-Teams aber der Aufwand, einzelne Schwachstellen im Kontext ihrer eigenen Infrastruktur zu bewerten.

Risikogruppen geben Orientierung – entscheidend ist die konkrete Umgebung

Microsoft führt mit den Oktober-Updates sogenannte „Risk Cohorts“ ein. Dabei werden CVE-Einträge zusammengefasst, die eine ähnliche Bewertung durch Kunden erfordern. Solche Gruppen können helfen, wiederkehrende Prüfungen zu bündeln und große Updatepakete übersichtlicher zu machen. Microsoft begrenzt den Nutzen allerding ausdrücklich: „Risikogruppen sind ein Ausgangspunkt, keine abschließende Entscheidung.“ Für jeden CVE-Eintrag bleiben folgende Kriterien relevant:

• Aktive Ausnutzung: Gibt es bestätigte Angriffe?
• Schweregrad: Welche technischen Auswirkungen sind möglich?
• Angriffsvektor: Ist die Schwachstelle über das Netzwerk oder nur lokal erreichbar?
• Nutzerinteraktion: Muss ein Nutzer Inhalte öffnen, anklicken oder anderweitig verarbeiten lassen?
• Produktspezifische Hinweise: Welche Versionen, Voraussetzungen und Maßnahmen nennt der Hersteller?

Für Anwender heißt das: Zunächst prüfen, welche eingesetzten Programme und Systeme betroffen sind – danach klären, ob Angreifer die  jeweiligen Lücken bereits ausnutzen und unter welchen Bedingungen sie die eigenen Systeme angreifen könnten. Besonders gefährdete Systeme sollten zuerst Updates erhalten. Nach dem Testen und Installieren ist zu kontrollieren, ob die Updates erfolgreich eingespielt und notwendige Neustarts durchgeführt wurden.