Patchday Oktober 2026: Windows-Shell-Lücke wird ausgenutzt
Angreifer nutzen die Lücke CVE-2026-96951 in der Windows Shell, um die Herkunftsmarkierung „Mark of the Web" auszuhebeln. Welche Windows-Versionen betroffen sind, welches Update schließt und was der Patch nicht leistet.
Was ist CVE-2026-96951 und warum ist sie gefährlich?
CVE-2026-96951 ist eine Sicherheitslücke in der Windows Shell, über die Angreifer den Schutzmechanismus „Mark of the Web" umgehen können. Microsoft hat sie am Patchday im Oktober 2026, dem 13. Oktober, geschlossen und im Eintrag des Microsoft Security Response Center (öffnet in neuem Tab) als bereits aktiv ausgenutzt markiert. Die Bewertung liegt bei 8,8 von 10 Punkten nach CVSS 3.1, die Einstufung bei „Wichtig".
Der Angriff braucht eine Handlung des Opfers. Nach Microsofts Beschreibung schickt der Angreifer eine präparierte Datei per E-Mail oder Messenger, und die Zielperson muss sie öffnen oder einem Link folgen. Genau an dieser Stelle soll Windows eigentlich warnen – und genau diese Warnung lässt die Lücke ausfallen. Über die Angriffe berichtete im deutschsprachigen Raum heise online zum Patchday (öffnet in neuem Tab); wie oft und gegen wen sie laufen, hat Microsoft nicht veröffentlicht.
Die US-Cybersicherheitsbehörde CISA hat CVE-2026-96951 am 13. Oktober 2026 in ihren Katalog ausgenutzter Schwachstellen (öffnet in neuem Tab) aufgenommen und US-Bundesbehörden eine Frist bis zum 16. Oktober 2026 gesetzt. Drei Tage sind ungewöhnlich kurz und ein brauchbarer Maßstab auch für Unternehmen in Deutschland, für die diese Frist rechtlich nicht gilt. Laut Microsoft haben unter anderem Forscher von Fujitsu die Lücke gemeldet.
Was schützt das Mark of the Web?
Das Mark of the Web ist eine unsichtbare Herkunftsmarkierung, die Windows an Dateien aus dem Internet anhängt. Laut Microsoft-Dokumentation zu Makros aus dem Internet (öffnet in neuem Tab) erhalten etwa Browser-Downloads und E-Mail-Anhänge die Markierung; technisch steht sie in einem Zusatzbereich der Datei namens Zone.Identifier, der Wert ZoneId 3 bedeutet „Internet".
An dieser Markierung hängen mehrere Schutzschichten. Office blockiert Makros in Dateien, die das Mark of the Web tragen, und zeigt stattdessen einen Sicherheitshinweis; auch Windows selbst wertet die Markierung aus, bevor es heruntergeladene Programme startet. Fehlt die Markierung, behandelt das System eine fremde Datei wie eine, die schon immer auf dem Rechner lag.
Darum sind Umgehungen des Mark of the Web bei Angreifern so beliebt. Sie ersetzen keinen Schadcode, sie räumen ihm den Weg frei: Ein Phishing-Anhang, der ohne Warnung startet, ist für Mitarbeitende kaum von einer harmlosen Datei zu unterscheiden. Schadsoftware wie Ransomware beginnt häufig mit genau so einem geöffneten Anhang.
Welche Windows-Versionen betroffen sind und welches Update hilft
Betroffen sind alle noch versorgten Windows-Versionen: Windows 11 in den Versionen 23H2, 24H2, 25H2, 26H1 und 26H2, Windows 10 in den Versionen 1607, 1809, 21H2 und 22H2 sowie Windows Server 2012 R2, 2016, 2019, 2022 und 2025. Die Liste stammt aus den Update-Daten, die Microsoft für den Oktober-Patchday veröffentlicht hat.
Das passende Update hat je Version eine eigene KB-Nummer. Windows 11 24H2, 25H2 und 26H2 erhalten KB5127648, Windows 11 26H1 KB5127646 und Windows 11 23H2 KB5126653. Für Windows 10 21H2 und 22H2 ist es KB5126657, für Windows Server 2016 KB5126868, für Server 2019 KB5126651, für Server 2022 KB5126655, für Server 2025 KB5126646 und für Server 2012 R2 KB5126836.
Nicht jeder Rechner bekommt diese Updates automatisch. Windows 10 hat laut Microsoft am 14. Oktober 2025 sein reguläres Supportende erreicht; Version 22H2 erhält Sicherheitsupdates nur noch über das kostenpflichtige Programm für erweiterte Sicherheitsupdates (öffnet in neuem Tab). Ein Windows-10-PC ohne diese Verlängerung bleibt gegen CVE-2026-96951 offen. Windows Server 2012 R2 wird ebenfalls nur noch mit erweiterten Sicherheitsupdates versorgt.
Patchday Oktober 2026 im Überblick: mehr als 1.400 Lücken
Der Patchday im Oktober 2026 schließt mehr als 1.400 Sicherheitslücken in Windows, Office, .NET, Exchange Server und weiteren Produkten. Die genaue Zahl hängt von der Zählweise ab: Fachmedien nennen Werte zwischen 1.407 und 1.413. Unsere eigene Auswertung der Microsoft-Daten vom 14. Oktober 2026 kommt auf 1.417 Einträge mit Microsoft als Herausgeber, davon 76 als kritisch eingestuft, 677 zur Rechteausweitung und 316 zur Ausführung von Schadcode.
Neben CVE-2026-96951 waren zwei weitere Lücken vor dem Patch öffentlich bekannt, nach Microsofts Angaben aber noch nicht ausgenutzt. CVE-2026-108398 im .NET Framework erlaubt es einem angemeldeten Angreifer, die Anwendungssteuerung Windows Defender Application Control zu umgehen; CVE-2026-92707 betrifft die Bibliothek MessagePack-CSharp und ermöglicht Dienstverweigerungsangriffe.
Besonders ernst für Büros ist CVE-2026-88156 in Outlook mit 9,8 von 10 Punkten. Laut Microsoft reicht es, eine präparierte E-Mail im Lesebereich oder Vorschaufenster anzuzeigen, damit Schadcode laufen kann – ohne Klick auf einen Anhang. Ausgenutzt wird diese Lücke nach Microsofts Stand nicht, aber sie zeigt, warum Office-Updates genauso dringend sind wie die für Windows.
Windows 11 24H2 Home und Pro: der letzte Patch
Für Windows 11 24H2 in den Editionen Home und Pro war der Oktober-Patchday das letzte Sicherheitsupdate. Die Lebenszyklus-Seite von Microsoft für Windows 11 Home und Pro (öffnet in neuem Tab) nennt den 14. Oktober 2026 als Ende der Versorgung für Version 24H2. Ab dem Patchday im November bleiben diese Rechner ohne neue Korrekturen, solange sie nicht auf eine neuere Version wechseln.
Der Wechsel auf Windows 11 25H2 ist in der Regel ein kleines Funktionsupdate über Windows Update und kein Neuaufsetzen. Version 25H2 wird für Home und Pro laut Microsoft bis zum 13. Oktober 2027 versorgt. Windows 11 23H2 Home und Pro erhält bereits seit November 2025 keine Updates mehr; das Oktober-Update KB5126653 erreicht dort nur noch Enterprise- und Education-Editionen.
Ein Hindernis für das Funktionsupdate ist oft eine alte Fachanwendung, die angeblich nur mit einer bestimmten Windows-Version läuft. Wie man das prüft, bevor man einen Rechner bewusst ohne Updates lässt, beschreibt der Beitrag Alte Fachanwendung unter Windows 11.
So prüfen Sie, ob Ihre Rechner den Oktober-Patch haben
Ob ein Windows-Rechner den Oktober-Patch installiert hat, zeigt der Updateverlauf. Unter Einstellungen, Windows Update und Updateverlauf muss das kumulative Update mit der KB-Nummer der jeweiligen Version als erfolgreich installiert erscheinen, bei Windows 11 25H2 also KB5127648. Steht dort ein Neustart aus, ist der Rechner noch nicht geschützt – das Update wirkt erst nach dem Neustart.
Im selben Fenster lohnt ein Blick auf die Windows-Version. Unter Einstellungen, System und Info steht, ob der Rechner 24H2, 25H2 oder eine ältere Version nutzt. Eine Version, die keine Updates mehr bekommt, fällt bei dieser Prüfung sofort auf, auch wenn der Updateverlauf sauber aussieht.
Für mehr als eine Handvoll Rechner reicht der Blick in einzelne Geräte nicht. Sinnvoll ist eine Liste mit Gerät, Windows-Version, letztem installiertem Update und Office-Stand, die zu jedem Patchday kontrolliert wird; Werkzeuge wie Microsoft Intune oder ein Update-Server lesen diese Angaben automatisch aus. Wer diese Routine nicht selbst betreiben will, kann sie als Teil von Wartung und Support vergeben.
Grenze: was der Patch nicht leistet
Der Patch für CVE-2026-96951 schließt einen Weg, das Mark of the Web zu umgehen, nicht alle. Erst im Februar 2026 stand mit CVE-2026-21510 eine andere ausgenutzte Windows-Shell-Lücke im Katalog der CISA, die ebenfalls einen Schutzmechanismus aushebelte. Dazu kommen eingebaute Grenzen des Mark of the Web: Laut Microsoft-Dokumentation gilt es nur für Dateien auf NTFS-Laufwerken, nicht auf Datenträgern mit dem Dateisystem FAT32, wie es viele USB-Sticks verwenden.
Ebenso wenig macht der Patch einen bereits kompromittierten Rechner sauber. Wurde ein präparierter Anhang vor dem 13. Oktober geöffnet, läuft eingeschleuster Schadcode nach dem Update weiter. Wer Hinweise auf einen geöffneten verdächtigen Anhang hat, sollte das Gerät prüfen lassen, statt sich auf das Update zu verlassen.
Und der Patch ändert nichts daran, dass der Angriff mit einer Handlung beginnt. Eine Datei, die eine Mitarbeiterin bewusst freigibt oder deren Warnung sie wegklickt, ist auch auf einem aktuellen System gefährlich. Updates und aufmerksame Mitarbeitende ersetzen einander nicht.
Was kleine Unternehmen jetzt tun sollten
Der erste Schritt nach diesem Patchday ist, die Updates auf allen Windows-Rechnern und Servern bis spätestens Ende der Woche zu installieren und neu zu starten – die von der CISA gesetzte Frist am 16. Oktober ist ein guter Anhaltspunkt. Office gehört dazu, weil die Outlook-Lücke ohne Klick auskommt. Dieselbe Linie vertritt die IT der TU Wien in ihrem Ratgeber zu Updates und Patchdays (öffnet in neuem Tab): Fehlende Updates sollten so schnell wie möglich nachinstalliert werden.
Der zweite Schritt ist eine Bestandsaufnahme: Welche Rechner laufen noch mit Windows 10 ohne erweiterte Sicherheitsupdates, mit Windows 11 23H2 oder 24H2 Home oder Pro? Diese Geräte bekommen ab November keinen Schutz mehr und gehören auf eine aktuelle Version oder ausgetauscht. Ein Sicherheitsaudit kann diese Bestandsaufnahme mit einer Prüfung von Postfächern, Fernzugängen und Berechtigungen verbinden.
Der dritte Schritt betrifft den Weg, auf dem der Angriff kommt: das Postfach. Filterregeln für ausführbare Anhänge, Makros nur aus vertrauenswürdigen Quellen und ein sauber eingerichteter E-Mail-Dienst senken das Risiko, dass ein präparierter Anhang überhaupt ankommt. Für den Fall, dass trotzdem etwas durchgeht, braucht es eine funktionierende Backup-Strategie für kleine Unternehmen.
Quellen
- Eintrag des Microsoft Security Response Center(öffnet in neuem Tab)msrc.microsoft.com
- heise online zum Patchday(öffnet in neuem Tab)www.heise.de
- Katalog ausgenutzter Schwachstellen(öffnet in neuem Tab)www.cisa.gov
- Microsoft-Dokumentation zu Makros aus dem Internet(öffnet in neuem Tab)learn.microsoft.com
- Programm für erweiterte Sicherheitsupdates(öffnet in neuem Tab)learn.microsoft.com
- Lebenszyklus-Seite von Microsoft für Windows 11 Home und Pro(öffnet in neuem Tab)learn.microsoft.com
- TU Wien in ihrem Ratgeber zu Updates und Patchdays(öffnet in neuem Tab)www.tuwien.at