CVE-2026-96951 ist eine Command-Injection-Schwachstelle im Windows-Shell-Komponenten, die Microsoft als aktiv ausgenutzt einstuft. Die Schwachstelle ermöglicht es einem nicht authentifizierten Angreifer, Sicherheitsmechanismen über das Netzwerk zu umgehen. Nach Einschätzung von Microsoft beträgt die Schwere 8.8 von 10 nach CVSS 3.1 (HIGH). Die Schwachstelle wurde in den Katalog der CISA Known Exploited Vulnerabilities mit einer Frist zur Behebung bis zum 16. Oktober 2026 aufgenommen. Betroffen sind Windows 10, Windows 11, Windows Server von 2012 R2 bis 2025 sowie Outlook.com. Organisationen müssen die Sicherheitsupdates umgehend einspielen.
Technische Details der Schwachstelle
Laut CVE-Eintrag wird die Schwachstelle als CWE-77 klassifiziert – unzureichende Neutralisierung spezieller Elemente, die in einer Kommandozeile verwendet werden. Das bedeutet, dass ein Angreifer beliebige Befehle über den Windows-Shell-Komponenten einschleusen kann, was zur Umgehung von Sicherheitsfunktionen (Security Feature Bypass) führt. Der Angriffsvektor ist das Netzwerk, die Ausnutzung ist wenig komplex, es sind keine Privilegien erforderlich, aber eine Benutzerinteraktion ist notwendig (CVSS-Vektor: AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H).
Die Metadaten von Microsoft geben an, dass die Schwachstelle nicht öffentlich offengelegt wurde, bevor der Patch veröffentlicht wurde, die Ausnutzung jedoch bereits beobachtet wurde – einschließlich in den neuesten Softwareversionen. Der CVE-Eintrag wurde am 13. Oktober 2026 veröffentlicht und aktualisiert.
Betroffene Produkte und Versionen
Das Ausmaß der Schwachstelle geht über typische Probleme der Windows Shell hinaus – betroffen sind nicht nur Desktop- und Server-Betriebssysteme, sondern auch der Cloud-Dienst Outlook.com. Vollständige Liste der verwundbaren Konfigurationen gemäß CVE-Eintrag:
- Outlook.com – Versionen von 1.0.0 bis 20260925.100
- Windows 10 Version 1607 (32-bit, x64) – von 10.0.14393.0 bis 10.0.14393.9612
- Windows 10 Version 1809 – von 10.0.17763.0 bis 10.0.17763.9376
- Windows 10 Version 21H2 – von 10.0.19044.0 bis 10.0.19044.7807
- Windows 10 Version 22H2 – von 10.0.19045.0 bis 10.0.19044.7807
- Windows 11 version 23H2 – von 10.0.22631.0 bis 10.0.22631.7652
- Windows 11 Version 24H2 (ARM64, x64) – von 10.0.26100.0 bis 10.0.26100.9711
- Windows 11 Version 25H2 (ARM64, x64) – von 10.0.26200.0 bis 10.0.26200.9711
- Windows 11 version 26H1 – von 10.0.28000.0 bis 10.0.28000.3231
- Windows 11 Version 26H2 – von 10.0.26300.0 bis 10.0.26300.9711
- Windows Server 2012 R2 – von 6.3.9600.0 bis 6.3.9600.23470
- Windows Server 2016 – von 10.0.14393.0 bis 10.0.14393.9612
- Windows Server 2019 – von 10.0.17763.0 bis 10.0.17763.9376
- Windows Server 2022 (x64) – von 10.0.20348.0 bis 10.0.20348.5761
- Windows Server 2025 (x64) – von 10.0.26100.0 bis 10.0.26100.33650
Die Aufnahme von Outlook.com in die Liste der betroffenen Produkte bedeutet, dass bei der Bearbeitung eines Vorfalls nicht nur Desktop- und Server-Deployments von Windows geprüft werden müssen, sondern auch Cloud-Dienste. Dadurch erweitert sich die Angriffsfläche über klassische Arbeitsstationen hinaus.
Was unbekannt ist
Zum Zeitpunkt der Veröffentlichung offenbart Microsoft keine Details dazu, welche Gruppen oder Kampagnen hinter der Ausnutzung der Schwachstelle stehen. In den verfügbaren Primärquellen fehlen Indikatoren einer Kompromittierung (IOC), eine Beschreibung der Exploit-Kette sowie ein Mapping auf MITRE ATT&CK-Taktiken. Informationen über den Einsatz der Schwachstelle in Kampagnen mit Ransomware sind in den aktuellen CISA-KEV-Daten ebenfalls nicht vorhanden.
Auswirkungsbewertung
Die Kombination mehrerer Faktoren macht diese Schwachstelle zu einer Priorität für sofortige Reaktion. Erstens: Die aktive Ausnutzung ist bestätigt – Microsoft weist ausdrücklich den Status „Exploited: Yes“ aus. Zweitens: Der breite Umfang – von veralteten Windows Server 2012 R2 bis zu den neuesten Windows 11 26H2 und Windows Server 2025, einschließlich des Cloud-Dienstes Outlook.com. Drittens: Die niedrige Einstiegshürde für Angreifer – es sind keine Privilegien erforderlich, der Angriff ist über das Netzwerk möglich, und die einzige Bedingung ist eine Benutzerinteraktion (z. B. das Öffnen einer schädlichen Datei oder das Anklicken eines Links).
Die maximale Auswirkung auf alle drei CIA-Parameter (Vertraulichkeit, Integrität, Verfügbarkeit) wird als HIGH eingeschätzt, was bei erfolgreicher Ausnutzung zu einer vollständigen Kompromittierung des Systems führen kann.
Empfehlungen
- Installieren Sie umgehend die Sicherheitsupdates von Microsoft für alle betroffenen Produkte. Die Frist zur Behebung gemäß CISA-KEV-Katalog ist der 16. Oktober 2026, was nur drei Tage nach der Veröffentlichung entspricht.
- Führen Sie eine Inventarisierung aller Windows-basierten Systeme durch – Workstations, Server und Cloud-Dienste –, um verwundbare Versionen zu identifizieren. Achten Sie besonders auf Server-Deployments, die häufig verzögert aktualisiert werden.
- Prüfen Sie die Build-Versionen der installierten Systeme und gleichen Sie sie mit den Schwellenwerten aus der Liste der betroffenen Produkte ab. Systeme mit Build-Nummern unter den genannten Schwellenwerten sind verwundbar.
- Für Organisationen, die unter die CISA-Direktive BOD 22-01 fallen, ist die Behebung der Schwachstelle innerhalb der vorgegebenen Frist verpflichtend.
Wir haben zuvor andere Fälle aktiver Ausnutzung von Schwachstellen in Microsoft-Produkten behandelt – insbesondere eine Schwachstelle zur Rechteausweitung in AD FS sowie die Aufnahme von SharePoint-Schwachstellen in den CISA-KEV-Katalog. Der aktuelle Fall bestätigt einen anhaltenden Trend: Windows-Komponenten bleiben ein vorrangiges Ziel für Angreifer.
Das dreitägige Zeitfenster bis zur CISA-KEV-Frist und die bestätigte Ausnutzung lassen keinen Raum für das Aufschieben von Patches. Priorität hat die sofortige Aktualisierung aller Windows-Systeme und die Überprüfung der Builds von Outlook.com bis zur Schwellenversion 20260925.100. Das Fehlen öffentlicher Details zur Ausnutzung senkt das Risiko nicht – es bedeutet lediglich, dass sich Verteidiger vorerst nicht auf signaturbasierte Erkennung verlassen können und sich auf die Behebung der Schwachstelle als einzige verlässliche Schutzmaßnahme konzentrieren müssen.
