Microsoft Oktober-Patchday 2026: 1.400+ Lücken, CVE-2026-96951 aktiv ausgenutzt – Handlungsempfehlungen

Was passiert ist – und warum es jetzt relevant ist

Am 13. Oktober 2026 (zweiter Dienstag im Monat) hat Microsoft seinen monatlichen Patchday veröffentlicht. Das Ausmaß ist außergewöhnlich: über 1.400 Sicherheitslücken wurden geschlossen – darunter eine, die bereits aktiv ausgenutzt wird. CVE-2026-96951 betrifft die Windows Shell und ermöglicht Angreifern, die Markup-of-the-Web-Kennzeichnung (MotW) zu umgehen. Damit können heruntergeladene Dateien als „vertrauenswürdig“ ausgeführt werden, ohne dass der Nutzer gewarnt wird. Der Exploit zirkuliert bereits in der Wildnis; erste Angriffe wurden Ende September beobachtet.

Für KMU und Verwaltungen bedeutet das: Wer die Oktober-Updates nicht zeitnah einspielt, lässt eine offene Tür für Initial Access. Besonders brisant: Die Lücke betrifft alle unterstützten Windows-Versionen – Windows 10, Windows 11, Windows Server 2016 bis 2025. Es gibt keinen Workaround, der die MotW-Umgehung zuverlässig blockiert; nur das Update schließt die Lücke.

Konkrete Handlungsempfehlungen

1. Patch-Management sofort anstoßen
   Alle Windows-Clients und -Server auf den Oktober-2026-Stand bringen (KB5126657 für 10/11 22H2/23H2, KB5126646 für Server 2025, KB5126655 für Server 2022). WSUS/SCCM/Intune: Synchronisation anstoßen, Freigabe prüfen, Rollout auf Testringe → Produktion starten. Ziel: 48 Stunden für kritische Systeme (DCs, RDS, VPN-Gateways), 5 Werktage für Standard-Clients.
2. MotW-Umgehung als Indikator für Kompromittierung behandeln
   Sollten Dateien ohne MotW-Flag („Zone.Identifier“) ausgeführt worden sein, die vor dem Patch eingingen: Incident-Response-Prozess triggern. Eventlogs (Sysmon 4688, 4663, 800-804) auf verdächtige Prozessketten prüfen (z. B. rundll32.exe, mshta.exe, wscript.exe aus Benutzerprofilen).
3. Attack Surface Reduction (ASR) Regeln scharf schalten
   Regel Block execution of potentially obfuscated scripts (5BEB7EFE-FD9A-4556-801D-275E5FFC04CC) und Block credential stealing from the Windows local security authority subsystem (9E6C4E1F-7D60-472F-BA1A-A39EF669E4B2) auf Block setzen. Das mindert Folgen, falls ein Exploit durchrutscht. Per GPO/Intune/MDM ausrollen.
4. Treiber- und Firmware-Updates prüfen
   Der Patchday liefert auch Treiber-Updates (z. B. Intel, AMD, Realtek). Bei Geräten mit BitLocker: BitLocker-Wiederherstellungsschlüssel vor dem Reboot bereithalten – Treiber-Updates können die PCR-Werte ändern und den Wiederherstellungsmodus auslösen.
5. Dokumentation und Nachweis für Audits (NIS2, BSI-Grundschutz, ISO 27001)
   Patch-Status pro System erfassen (PowerShell: Get-HotFix -Id KB5126657,KB5126646,KB5126655). Bericht an Informationssicherheitsbeauftragten/Management: Welche Systeme gepatcht, welche ausgenommen (mit Begründung), Restrisiko bewertet.

Was tun, wenn… – First-Response-Schritte

• … ein System die Updates nicht installieren kann (Fehler 0x800f081f / 0x80073701): DISM-Reparatur (DISM /Online /Cleanup-Image /RestoreHealth), dann erneut versuchen. Bei anhaltendem Fehler: Image-Backup zurückspielen oder Neuinstallation – das System gilt bis dahin als nicht vertrauenswürdig und darf keine Domänen-Admin-Credentials halten.
• … verdächtige Prozessaktivität nach dem 13.10. auf ungepatchtem System entdeckt wird: System sofort vom Netz trennen (Netzwerk-Isolation, nicht Herunterfahren – RAM für Forensik erhalten). Forensisches Image erstellen. IOCs (Hashes, IPs, Dateipfade) mit BSI/CSIRT teilen. Passwort-Reset für alle auf dem System genutzten Konten.
• … ein Server (DC, File, SQL) nicht sofort neu starten darf: Virtual Patching per WAF/IPS/EDR-Regel für CVE-2026-96951 aktivieren (Microsoft Defender for Endpoint: „Block exploitation of CVE-2026-96951“). Wartungsfenster für Reboot festlegen (max. 72 h). Kompensatorische Maßnahmen protokollieren.

Empfehlung für die nächsten 30 Tage

Woche 1: Alle kritischen Systeme gepatcht, ASR-Regeln aktiv, Patch-Report an Leitung. Woche 2: Standard-Clients abgeschlossen, Ausnahmen dokumentiert, Schwachstellenscan (OpenVAS/Nessus/Defender Vulnerability Management) laufen lassen – keine CVE-2026-96951-Funde mehr. Woche 3: Treiber/Firmware-Updates auf Hardware-Ebene (Hersteller-Support-Seiten) geprüft, BitLocker-Recovery getestet. Woche 4: Lessons-Learned-Workshop: Wie lief das Patch-Management? Wo hakte WSUS/Intune? Prozess nachjustieren – der November-Patchday kommt bestimmt.

Quellen: Microsoft Security Update Guide Oktober 2026 (KB5126646, KB5126655, KB5126657), BornCity Patchday-Zusammenfassung 14.10.2026, Security-Insider Analyse zu CVE-2026-96951, BSI Lagebericht 2025/2026.