Rekord-Patchday: Microsoft schließt über 1.400 Lücken
Am Oktober-Patchday 2026 hat Microsoft mehr als 1.400 Sicherheitslücken geschlossen, so viele wie nie. Eine davon wird bereits ausgenutzt. Experten sehen KI-gestützte Fehlersuche als einen Grund. Wie Admins jetzt sinnvoll priorisieren und welche Windows-Versionen aus dem Support fallen.
Microsoft hat am Patchday vom 13. Oktober 2026 mehr als 1.400 Sicherheitslücken geschlossen. Das ist ein neuer Rekord, und zwar mit Abstand: Schon der September galt mit knapp 1.000 Korrekturen als Höchstwert. Eine der neuen Lücken wird bereits aktiv ausgenutzt. Für IT-Abteilungen in Unternehmen stellt sich damit weniger die Frage, ob sie patchen, sondern in welcher Reihenfolge.
Die Zahlen, je nach Zählweise
Wie viele Lücken es genau sind, hängt davon ab, wer zählt. BleepingComputer kommt auf 1.411 Lücken, ohne 348 bereits früher im Monat behobene. Tenable zählt 1.407 CVEs in 301 Produkten, Ciscos Sicherheitsteam Talos 1.415. Auch bei den kritischen Lücken gehen die Angaben auseinander, von 69 (Tenable) über 70 (BleepingComputer) bis 85 (Talos). Einig sind sich alle: So viel war es noch nie.
Satnam Narang von Tenable ordnet das laut Krebs on Security so ein: Der bisherige Jahresrekord von 1.261 CVEs aus dem Jahr 2020 ist längst übertroffen.
We've now crossed the 4,000 CVE mark with two months left to go.
Übersetzt: Microsoft hat in diesem Jahr bereits über 4.000 CVEs veröffentlicht, und es sind noch zwei Monate übrig.
Eine Lücke wird schon ausgenutzt
Am dringendsten ist CVE-2026-96951 in der Windows Shell (CVSS 8,8). Über die Lücke lässt sich Mark of the Web umgehen, also die Markierung, mit der Windows Dateien aus dem Internet kennzeichnet und vor dem Öffnen warnt. Angreifer müssen ein Opfer nur dazu bringen, eine präparierte Datei oder einen Link zu öffnen. Die Lücke wird laut Microsoft aktiv ausgenutzt und steht seit dem 13. Oktober im Katalog bekannt ausgenutzter Schwachstellen der US-Behörde CISA.
Vorab öffentlich bekannt, aber laut Krebs bisher nicht ausgenutzt ist CVE-2026-108398 im .NET Framework (CVSS 8,8). Damit lässt sich Windows Defender Application Control umgehen, also die Regel, welche Programme überhaupt starten dürfen. Gefunden hat sie James Forshaw von Google Project Zero.
Ein Detail mit KI-Bezug fällt in der Liste auf: Laut Security-Insider genügt bei CVE-2026-103572 in Werkzeugen rund um Visual Studio und SQL Server Management Studio eine Prompt Injection, um Code auszuführen, sobald jemand dort mit Copilot arbeitet.
KI findet mehr Lücken, auf beiden Seiten
Warum die Zahlen so steigen, erklären mehrere Beobachter mit KI. BleepingComputer schreibt, Microsoft setze zunehmend KI-Plattformen ein, um Lücken zu finden und zu beheben. Eine eigene Aussage von Microsoft zum Oktober-Patchday dazu haben wir nicht gefunden. Dustin Childs von der Zero Day Initiative sagt gegenüber CSO Online, ob KI schuld sei: „Teilweise.“ KI beschleunige die Fehlersuche „auf beiden Seiten des Zauns“ und verkürze die Zeit, bis jemand eine vorhandene Lücke bemerkt.
Das passt zu dem, was wir im Sommer beschrieben haben: KI findet sehr viele Lücken, ausgenutzt wird aber nur ein kleiner Teil, wie der VulnCheck-Report zeigte. Gleichzeitig senkt KI die Hürde, Software zu analysieren, wie unser Beitrag KI dekompiliert Software zeigt. Beides zusammen heißt: Die Patch-Flut ist kein Ausreißer, sondern die neue Normalität.
Diese Windows-Versionen bekommen keine Updates mehr
Mit dem Oktober-Patchday endet der Support für mehrere Produkte. Letzte Updates gab es laut BleepingComputer, Tenable und Security-Insider unter anderem für:
- Windows 11 24H2 Home und Pro
- Windows 10 Enterprise LTSB 2016
- Office 2021 und Office LTSC 2021
- die erweiterten Sicherheitsupdates (ESU) für Windows Server 2012 und 2012 R2
Für Windows 11 23H2 Enterprise und Education ist laut Security-Insider am 10. November Schluss. Windows Server 2022 verlässt den regulären Support, Sicherheitsupdates gibt es dort noch bis Oktober 2031.
Was das für Ihr Unternehmen heißt
- Nach Ausnutzbarkeit priorisieren: Zuerst die aktiv ausgenutzte Shell-Lücke verteilen, dann Office, Exchange und Domänencontroller. Childs bringt es auf den Punkt: Wer nach der reinen Zahl der Lücken arbeitet, verbrennt Zeit an den falschen Fehlern.
- Patchen automatisieren: Bei über 1.000 Lücken im Monat funktioniert Handarbeit nicht mehr. Ein verlässlicher, getesteter Update-Ring für Clients und Server ist Pflicht.
- Versionsstand prüfen: Rechner mit Windows 11 24H2 Home oder Pro bekommen ab sofort nichts mehr. Inventarisieren Sie, was noch läuft, und planen Sie das Upgrade auf 25H2.
- KI-Werkzeuge mitdenken: Copilot und andere Assistenten in Entwicklerwerkzeugen sind selbst Angriffsfläche. Sie gehören in die Update-Planung wie jedes andere Programm.
- Langfristig planen: Wann ältere Rechner endgültig abgehängt werden, beschreibt unser Beitrag zu den Windows-Update-Zertifikaten 2027.
Fazit
Der Oktober-Patchday ist ein Rekord, aber vermutlich kein einmaliger. Wenn KI Lücken schneller findet, kommen mehr Korrekturen, und Angreifer nutzen dieselben Werkzeuge. Für Unternehmen zählt deshalb ein Patch-Prozess, der automatisch läuft und gezielt priorisiert, statt jeden Monat von Neuem zu improvisieren. Wenn Sie Ihre Update-Strategie für Windows-Clients und Server auf solide Füße stellen möchten, sprechen Sie mich gern an.
